SecAtor

Исследователи Forever Security обнаружили на компьютере клиента вредоносный файл инструкций AGENTS в формате Markdown в папке ~/Downloads, который обманом заставил агента ИИ инсталлировать мошеннический пакет npm function-color. Файлы Markdown, такие как AGENTS.md, представляют собой текстовые файлы, содержащие инструкции для разработчиков ИИ-программ, специфичные для конкретного проекта, например, какие инструменты использовать, как запускать тесты и какие правила кодирования соблюдать. Агенты автоматически загружают необходимые файлы из своего рабочего каталога и используют содержащиеся в них инструкции для управления своими действиями. Хотя эти файлы не являются исполняемыми файлами, содержащиеся в них вредоносные инструкции могут привести к тому, что агенты ИИ будут выполнять команды, устанавливать пакеты или изменять настройки, используя доступные им инструменты и разрешения. В Forever Security воспроизвели атаку на OpenAI Codex и воспроизвели аналогичную технику против Claude Code, позволяющую получить доступ к токенам OAuth и захватить учетную запись, используя лишь вредоносные инструкции. Исследователям не удалось определить, как конкретно вредоносный файл с инструкциями попал в папку загрузок на целевом компьютере. При этом простое посещение вредоносной страницы может привести к загрузке вредоносного кода без какого-либо взаимодействия с пользователем. По утверждению Forever Security, «папка ~/Downloads уникальна. Это единственная папка, в которую веб может самостоятельно записывать данные, а веб-страница может незаметно загрузить в нее файл с именем AGENTS.md». Исследователи разработали PoC, дабы продемонстрировать, как атака может внедрить вредоносный файл в папку ~/Downloads незаметно для пользователя. И действительно, он работает. По умолчанию многие популярные браузеры, включая Chrome, Edge и Firefox, сохраняют файлы, загруженные из интернета, в папку ~/Downloads пользователя, не предлагая ему выбрать место сохранения для каждой загрузки. Brave при этом запрашивает подтверждение загрузки. Вместе с тем, Chrome, Edge и Firefox по умолчанию отображают уведомления о загрузке, оповещая пользователей о том, что файл был сохранен локально. После помещения файла в нужную папку для реализации атаки потребуется запуск жертвой своего ИИ-агента в той же директории, чтобы тот мог загрузить файл с инструкциями и обработать содержащиеся в нем вредоносные указания. Как отметили в Forever Security, это довольно распространенная практика, поскольку пользователи часто используют ИИ-агентов для организации этой папки или для обработки недавно загруженного файла. Согласно их статистике, сотни клиентов запускают агентов ИИ, включая Claude Code, OpenAI Codex и Cursor CLI, из папки ~/Downloads. Только Claude Code запустил более 1300 сессий. Исследователи протестировали свою реконструированную цепочку атак на Codex, используя безобидную полезную нагрузку, которая просто открывала приложение калькулятора, и достигли 90% успеха. В отдельном тесте они использовали вредоносный файл CLAUDE.md для перенаправления трафика API Claude Code на контролируемый ими сервер, что привело к утечке токена OAuth агента, позволило серверу выдавать себя за модель и возвращать вызовы инструментов, которые выполняли код примерно в 50% тестов. Исследователи утверждают, что риск данной атаки формирует сочетание преднамеренного поведения браузера и агента, что возлагает всю ответственность за реализацию защиты непосредственно на самого пользователя. OpenAI и Anthropic рекомендуют запускать своих агентов ИИ из каталога проекта, в котором они предназначены для работы. Ограничение рабочей директории рамками соответствующего проекта помогает агенту получить необходимый контекст и ограничивает область его работы, снижая риск обработки ненадежных файлов в несвязанных местах.

По PHP2Shell расклад на сегодня следующий: - Согласно результатам сканирования Qualys и Ox Security (1 и 2), более 99% всех PHP-серверов, уязвимых для PHP2Shell, до сих пор не защищены от атак. В целом, 73% всех PHP-ресурсов в интернете уязвимы для атак. - Сообщения об активной эксплуатации PHP2Shell имеются. Вредоносная активность была обнаружена Perplexity, чьи ханипоты зафиксировали подтвержденное RCE в установке Apache mod_php, работающей под управлением PHP 8.4.26. - Вышеупомянутые наблюдения подтвердил также исследователь Expel Маркус Хатчинс, отслеживающий сообщения о предполагаемых успешных случаях эксплуатации уязвимости PHP2Shell. - По данным TRACE Dataminr, до этих случаев вредоносная деятельность «ограничивалась сканированием и попытками реализации неработающих эксплойтов, без каких-либо случаев компрометации.  - Arctic Wolf связывает некоторые из этих атак с конкретным злоумышленником, а именно с ботнетом Potassium, семейством на основе Mirai, который впервые был обнаружен ранее в этом году. - CYFIRMA заявила о раскрытии предположительно связанной с КНДР кампании, в которой использовался PHP2Shell для активного исследования глобальной инфраструктуры PHP с 21 скомпрометированного узла. Сканирование намеренно проводится в небольших объемах и в умеренном темпе. Целевые серверы включают в себя 216 незащищенных или частично защищенных серверов, расположенных в США, Японии, Южной Корее, Таиланде, Индонезии, Австралии, Тайване, Индии, Сингапуре, ОАЭ, Саудовской Аравии и ЕС. К целевым секторам относятся правительственные учреждения, финансовые организации, логистические компании, аэропорты и авиационную отрасль, производственные предприятия и платформы для онлайн-транзакций. - Defused Cyber сообщает, что также наблюдает атаки PHP2Shell на свои ловушки GlobalProtect от Palo Alto Networks. Активность исходит с IP-адреса 204.76.203[.]7, известного адреса для массовых эксплойтов. Запросы содержат маркер PHP_SESSION_UPLOAD_PROGRESS (p2s-rider) и фиктивную загрузку файла без полезной нагрузки. - В пятницу команда безопасности PHP также поделилась мерами по устранению новой RCE (CVE-2026-115560), для которой нет исправления и которая может быть использована только при атаке на системы с «необычным сочетанием конфигурации и кода приложения». - Corelight, OpenAI и Searchlight выпустили инструменты для сканирования PHP-систем и определения их уязвимости к атакам PHP2Shell. - Исследователи Лаборатории Касперского представили правила для SIEM-системы KUMA и события для разработки собственных правил детектирования или проведения threat hunting. Кроме того, выкатили описание детектирования вредоносной активности с помощью сервиса Kaspersky Managed Detection and Response, а такие уязвимых версий PHP с помощью Kaspersky Vulnerability Management. - Позитивы указали Suricata‑сигнатуры, а Бизоны рассказали, как BI.ZONE EDR и BI.ZONE SOC выявляют эксплуатацию CVE-2026-109618/619 в PHP.

Исследователи Solar сообщают об обнаружении ранее неизвестного бэкдора RFRx003, замеченного в атаках на IT-компании. Летом 2026 года неизвестные атакующие смогли получить доступ к инфраструктуре компании и закрепиться внутри нее с использованием ранее неизвестного кастомного вредоносного ПО класса backdoor, позволявшего строить туннели скрытого бокового перемещения. В результате расследования инцидента стало понятно, что атакующие оставались незамеченными в инфраструктуре организации несколько месяцев, а точкой входа стал сервис на периметре. Эксплуатация свежей на тот момент RCE-уязвимости предоставила им выполнение кода от имени системы с последующим повышением привилегий. Для закрепления использовался сервис timesync.service, маскирующийся под штатный демон синхронизации времени, а впоследствии - задание cron от имени root. Однако ключевым инструментом бокового перемещения стал неизвестный ранее бэкдор RFRx003, который представляет собой компактный, профессионально написанный бэкдор для пивотинга в linux-инфраструктуре. Его архитектурные решения свидетельствуют о целенаправленной разработке инструмента, рассчитанного на длительное и скрытное присутствие в сети жертвы. При запуске бэкдор считывает встроенный конфигурационный блок, закодированный в Base64. Декодированная структура имеет длину 72 байта. RFRx003 использует Mongoose - встраиваемый событийно-ориентированный C-фреймворк для HTTP/WebSocket. Поверх Mongoose реализованы два транспортных режима: HTTPS и WSS. Также реализует полноценный набор команд для разведки, файловой работы, туннелирования трафика через SOCKS5 и запуска интерактивной оболочки через PTY. Дополнительный дроппер - shell-скрипт pkgmgr - скачивал второй экземпляр бэкдора из инфраструктуры атакующих, используя в качестве имени файла package.json для маскировки под пакет npm. Для получения root-доступа был размещен исполняемый файл bash с выставленным SUID-битом. Атакующие использовали бэкдор для построения SOCKS5-туннелей, через которые осуществляли боковое перемещение и в конечном счете похитили данные почтовых ящиков сотрудников. Примененные техники - маскировка под системный NTP-сервис, исполнение полезной нагрузки из /dev/shm, использование SUID-bash для тихого повышения привилегий, загрузка бэкдора под именем package.json - отражают наличие у атакующих опыта работы с linux-инфраструктурой и понимание типичных слепых зон корпоративных средств защиты. В целом, инструментарий кампании не совпадает с ранее описанными публично наборами вредоносного ПО. RFRx003 является кастомно разработанным имплантатом с профессиональной архитектурой. Технические подробности и IOCs - в отчете.

Еще на прошлой неделе отметили, что пока все были заняты обсуждением двух RCE в PHP-серверах (известных как PHP2Shell), другая критичная ошибка осталась почти незамеченной (по крайней мере, для тех, кто не подписан на Secator), хотя имеет столь же широкое влияние и серьезность. Сама проблема позволяет осуществлять атаки с RCE против любого приложения, сервера или инструмента управления трафиком, обрабатывающего предоставленные пользователем данные, сжатые в формате Brotli от Google. Он стал популярным после того, как Google открыл его исходный код более десяти лет назад. По сути, уязвимость представляет собой ошибку повреждения памяти. Она позволяет злоумышленникам, отправляющим на сервер специально созданные данные, закодированные в формате Brotli, записывать вредоносный код в память сервера за пределами тех областей, где ожидается обработка данных. Для этого не требуется никакой аутентификации, и поскольку это реализовано в коде Brotli, это также влияет на все библиотеки, использующие эту реализацию. При этом потенциальный радиус воздействия просто колоссален. Если PHP2Shell влияет только на веб-серверы PHP, то Brotli влияет практически на всё, независимо от языка программирования. Первым проектом, исправившим эту ошибку, стал Node.js, поэтому первоначально она называлась Node2Shell, по аналоги с PHP2Shell. После выхода патча для Brotli он начал интегрироваться во все нижестоящие проекты, и вырисовывалась гораздо более масштабная картина, выходящая далеко за рамки первоначального патча для Node.js. Были выпущены обновления для ряда интеграций Python Brotli, среды выполнения JavaScript Bun, прокси-сервера Envoy и платформы управления трафиком Istio. Ожидается, что многие другие проекты в скором времени подтвердят влияние и также выпустят собственные наборы исправлений, что вызовет волну обновлений по всей экосистеме DevOps в ближайшие месяцы. Учитывая столь внушительный объем исправлений изначальное наименование уязвимости, Node2Shell, теперь трансформировалась в HTTPS2Shell, Brocolli2Shell и Brotlipocalypse, создав некую путаницу в отношении наименования ошибки. Учитывая такое количество названий, на данном этапе, вероятно, проще просто ссылаться на уязвимость по её CVE - CVE-2026-111497. Брендирование уязвимостей в некоторых случаях полезно, но в данном случае это имело обратный эффект. Исследователи Trail of Bits на прошлой неделе выпустили инструмент для аудита кода и подтверждения его уязвимости - после чего можно смело начинать поиск патча, если он доступен. Также доступны некоторые правила обнаружения. Как и в случае с PHP2Shell, эта ошибка также была обнаружена с помощью инструментов ИИ. Node.js выразила благодарность Хаю Трану и Сильви Майер из команды OpenAI Codex Security. В целом же, как мы ранее сообщали, тренд начинает работать: прошедшая неделя действительно вошла в историю по количеству раскрытых уязвимостей. И по всей видимости, это только начало.

Под конец рабочей недели отметим наиболее трендовые угрозы: 1. GitLab предупредила о серьезной уязвимости, которая позволяет хакерам захватить контроль над собственными серверами. Она представляет собой RCE до аутентификации с CVSS 10/10. CVE-2026-110264 затрагивает все версии GitLab, начиная с версии 7.0, выпущенной в 2014 году. 2. Arista Networks выпустила патч для устранения новой 0-day в локальных серверах VeloCloud Orchestrator, которая позволяет удаленным злоумышленникам получать доступ к внутренним функциям без аутентификации. CVE-2026-114625 - уже третья 0-day в VeloCloud, исправленная в этом году. 3. Голландская Eye Security удалила заброшенное и уязвимое пиратское приложение Popcorn Time с более чем 2 млн. компьютеров под управлением Windows и macOS. Для этого использовала уязвимость в домене с истекшим сроком действия для запуска обновления приложения и его удаления с систем, которые отреагировали. Eye сделала это в обход правоохранительных органов, а пакет обновления впоследствии был помечен как вредоносный некоторыми приложениями безопасности. 4. PHP предупредила об еще одном способе запуска кода на сервере, спустя два дня после выпуска экстренных исправлений для PHP2Shell. CVE-2026-115560 затрагивает только веб-приложения, с нетипичной конфигурацией. PHP рассматривает её угрозой с маловероятным риском и не намерена выпускать экстренное исправление. Вместо этого рекомендуется отключить функцию, называемую прогресс загрузки сессии, до тех пор, пока исправление не будет доступно в следующем плановом релизе. Кроме того, Sophos сообщает, что злоумышленники пытались использовать PHP2Shell для установки Potassium, который, по ее мнению, является вариантом ботнета Mirai. Sansec, предсказывавшая ранее массовую эксплуатацию уязвимости в течение 15 минут после выпуска патча, пересмотрела свою точку зрения. В обновлении от 22 октября компания заявила, что для успеха необходимы подробные знания о сервере, а общедоступные экспромты не работают против установок PHP с настройками по умолчанию. Исследователи назвали рандомизацию размещения адресного пространства (ASLR), которая случайным образом определяет местоположение кода и данных в памяти, серьезным препятствием для выполнения кода. VulnCheck утверждает, что нашла способ обойти эту проблему. Censys отслеживает установку исправлений для PHP2Shell в режиме реального времени с помощью общедоступной панели мониторинга, которая показывает, сколько доступных из интернета PHP-сервисов по-прежнему используют уязвимую версию. 5. Исследователи Imperva продемонстрировали RCE-уязвимость Node2Shell на сборке Node.js. Вредоносные данные Brotli могут привести к тому, что приложение на официальной сборке Node.js будет запускать предоставленный злоумышленником код. Node.js сообщила о CVE-2026-111497 и выпустила исправления 21 октября. По состоянию на 22 октября сообщений об использовании данного недостатка в дикой природе не поступало. 6. Критическая CVE-2026-112900 в популярной библиотеке изображений Pillow для Python позволяет выполнять код с помощью специально созданного изображения. Разработчики Pillow исправили багу в версии 13.0.0, выпущенной 16 октября. 7. На серверах Linux под управлением KSMBD, встроенного в ядро сервера SMB, обнаружены две RCE-уязвимости, получившие оценку 9.0 от Zero Day Initiative, которые до сих пор не исправлены в основной ветке ядра. Первая ZDI-CAN-33774 может быть активирована до любой сетевой аутентификации. Другая, ZDI-CAN-33549, требует использования транспортного протокола SMB Direct и сетевого интерфейса с поддержкой RDMA. 8. Уязвимость в агенте OpenCode AI позволяла вредоносному или взломанному MCP-серверу запускать код на компьютере разработчика под управлением Windows или WSL, когда разработчик входил в систему.  Anomaly исправила уязвимость в версии 1.18.33 28 сентября, но не запрашивала CVE и не публиковала бюллетень, поэтому сканеры уязвимостей не будут отмечать сборки, которые все еще находятся под угрозой: с 1.0.137 по 1.18.32.

• В этой статье описаны основные векторы атак на контейнерные среды: секреты в контейнерах, мисконфигурации привилегий, компрометация API, атаки на цепочку поставок. • Нужно отметить, что контейнеры чаще всего используются как промежуточная среда для закрепления внутри системы - затем атакующие стремятся либо выйти на уровень хостовой ОС, либо получить доступ к управлению инфраструктурой через API оркестрации. • Для противодействия атакам необходимо выстроить многоуровневую систему, включающую защиту хоста, строгий контроль прав в оркестраторе, минимизацию привилегий контейнеров и проверку компонентов во всей цепочке поставки. • Каждый вектор атак с конкретными примерами и настройками подробно разобран в этом исследовании: • Принципы контейнеризации; • Актуальные векторы атак; • Использование уязвимостей хостовой системы; • Вредоносные действия внутри контейнера; • Побег из контейнера: ➡Привилегированные контейнеры; ➡CAP_SYS_ADMIN; ➡CAP_SYS_MODULE; ➡CAP_SYS_PTRACE; ➡CAP_NET_ADMIN; • Использование API оркестрации; • Атака на цепочку поставок. ➡ https://securelist.ru/container-attack S.E. ▪️ infosec.work ▪️ VT

LiteLLM подверглась атаке на цепочку поставок: хакеры использовали скомпрометированные токены OAuth GitHub CLI для отправки и одобрения вредоносных пакетов в PyPI и Docker. Инцидент произошёл 21 октября и был связан с версией 1.107.0 популярного прокси-сервера с открытым исходным кодом для маршрутизации запросов между поставщиками LLM. Вредоносные пакеты находились в сети около трех часов и, по некоторым оценкам, были загружены более 49 000 раз, пока их не удалили из PyPI и н потерли в Docker Hub. Согласно расследованию LiteLLM, злоумышленники получили токены OAuth GitHub CLI для «одной учетной записи пользователя во внутренней системе LiteLLM, которая была доступна извне». Токены, вероятно, были украдены с помощью Claude Code, который при определенных обстоятельствах внедрял их в тело ответа и записывалось в логи LiteLLM. Злоумышленники, скорее всего, и извлекли токены из логов. Однако, по данным LiteLLM, до сих пор неясно, как злоумышленники получили доступ к внутренней системе развертывания или переместились внутри сети, поскольку у них был доступ к трем наборам учетных данных GitHub CLI для разработчиков. Злоумышленники использовали скомпрометированные учетные данные для отключения защиты ветвей, объединения изменения, которое указывало релизеру на другой репозиторий, и запуска скомпрометированного рабочего процесса GitHub, который указывал на похожий репозиторий, после чего подписали и опубликовали зараженные артефакты. Пользователи, загрузившие вредоносные пакеты LiteLLM версии 1.107.0 в период компрометации, были заражены RAT-программой. По данным LiteLLM, корпоративные клиенты, использующие её частный репозиторий, не пострадали. Вероятно, созданная с помощью ИИ и распространяемая из Berri-AI/litellm, выдающего себя за легитимный репозиторий BerriAI/litellm, полезная нагрузка извлекает три файла в корневую папку site-packages для выполнения при каждом запуске интерпретатора Python. Интерпретатор загружает инфокрад, нацеленный на системную информацию, данные браузера и файлы cookie, креды разработчика, переменные среды, секреты облачных сервисов (AWS, GCP и Azure), ключи API инструментов ИИ (Anthropic, GitHub Copilot, OpenAI и другие), закрытые ключи SSH, файлы истории командной оболочки и ключи GPG. Затем украденные данные шифруются и отправляются в litellm[.]dev. По данным Wiz, злоумышленники начали отрабатывать украденные учетные данные примерно через 4,5 часа после их кражи. В частности, исследователи наблюдали, как злоумышленники запрашивали данные из моделей Amazon Bedrock, используя украденные учетные данные AWS, что наводит на мысль о LLMjacking. Причем компонент RAT вредоносного ПО регулярно проверяет С2 злоумышленников, а также «тайник» на GitHub, запускает любой Python, который предоставляет злоумышленник. Пользователям, установившим LiteLLM версии 1.107.0, следует немедленно удалить его, сменить учетные данные и проверить свои системы на наличие вредоносных программ. Самая последняя чистая версия LiteLLM - 1.106.2.

Исследователи Лаборатории Касперского в новом отчете рассказали, как APT41 смогла реанимировать буткит BlackLotus и нацелиться на дипломатические учреждения в Центральной Азии. В октябре 2022 года эксперты ЛК нашли необычное объявление на хакерском форуме: некий киберпреступник продавал UEFI-буткит BlackLotus, способный обходить протокол Secure Boot, за 5000 долл. Такой мощный инструмент должен был стоить куда больше, поэтому инфосек-сообщество поначалу восприняло это предложение скептически. Проверить заявления хакера не представлялось возможным, ведь образцов BlackLotus в реальных атаках обнаружено не было. Тем не менее спустя полгода, в марте 2023 года, компания ESET подтвердила подлинность BlackLotus после того, как им удалось найти его образцы и убедиться, что он действительно позволяет обходить Secure Boot, эксплуатируя уязвимость Baton Drop (CVE-2022-21894). Позже Microsoft выпустила несколько обновлений для ее устранения, а BlackLotus ушел в тень: публично известных атак с его использованием не наблюдалось. Тем не менее в начале 2026 года исследователи ЛК обнаружили образец вредоносного ПО, схожий с BlackLotus, который использовался в APT-кампании, нацеленной на димведомства Таджикистана, Узбекистана и Туркменистана. После компрометации сети, в которой находились целевые хосты, и получения прав администратора злоумышленники разворачивали UEFI-буткит (названный в ЛК как BlackX), для установки которого размещали inst.exe и зашифрованный по алгоритму RC4 без расширения файл PVMDIJGKAX2. Пакет с установщиком размещает в системном разделе и разделе UEFI набор файлов, предназначенных для эксплуатации уязвимости Baton Drop. Как и в случае с BlackLotus, цель эксплойта - установить пользовательские ключи владельца компьютера (Machine Owner Keys, MOK), что позволяет загружать произвольные EFI-файлы в целевые системы и манипулировать работой Secure Boot. UEFI-модуль, доставляемый при эксплуатации уязвимости Baton Drop, преследует типичную для буткитов цель - внедрить вредоносный драйвер в ядро ОС Windows. При этом он отличается от варианта BlackLotus и подписан сертификатом организации Wenjiang District Mingyu Network Technology Service Studio. Задача драйвера - вмешиваться в работу защитных решений, установленных на компьютере.  Кроме того, он вмешивается в работу поставщиков ETW, чтобы защитные решения не могли получать от них выходные данные. Также защищает файлы буткита от вмешательства.  Помимо вмешательства в работу защитных решений, драйвер отвечает за развертывание вредоносных нагрузок, работающих в пользовательском режиме. В ЛК обнаружили две такие нагрузки для кибершпионажа в реальных атаках. Одна из них - RAT, способный загружать написанные на .NET модули следующего этапа. Для связи С2 использует облачные хранилища: Google Drive, OneDrive и Яндекс Диск. Вторая - OxiDLLRunner, динамическая DLL, обфусцированная с помощью OLLVM. Она загружается легитимным файлом googleupdate.exe, который тоже доставляется буткитом. Библиотека расшифровывает содержимое файла и переходит к началу расшифрованных данных. Они состоят из шелл-кода и следующего за ним PE-файла - модуля, написанного на Rust и предназначенного для связи с С2 www[.]archivetj[.]com. В ходе обмена данными эта нагрузка должна получать DLL, экспортирующие функцию create_plugin, которые затем запускаются в отдельных потоках. Примечательно еще то, что при первичном анализе BlackX предполагалось, что развернуть буткит удалось из-за халатности самих жертв. Оказалось, что патч для уязвимости Baton Drop должен отзывать сертификат Windows Production PCA 2011, которым подписаны уязвимые компоненты UEFI, однако отзыв необходимо запустить вручную. Вероятно, злоумышленники, стоящие за этой кампанией, понимали, что немногие организации знали о необходимости запускать исправление вручную. Поэтому мы полагаем, что атакующие решили уделить время изучению принципов работы BlackLotus и созданию аналогичного буткита. Другие технические подробности и доводы по части атрибуции - в отчете.

На горизонте вымогательства засветилась новая относительно новая группа под названием n0n. Банде удалось провернуть крупную атаку на цепочку поставок, переместившись из сети IT-поставщика на более чем 40 портовых управлений, морских и глобальных судоходных компаний. Полный список всех пострадавших был анонсирован на DLS n0n в даркнете 12 октября, а крайний срок для окончательной выплаты истек неделей позже, 19 октября. В CyDome сообщили, что половина компаний в этом списке являются известными клиентами CyberLogitec, южнокорейской компании, предоставляющей IT-инфраструктуру и решения для морского сектора. Причем сайт CyberLogitec не работает уже несколько недель, что убедительно свидетельствует о том, что именно эта компания, вероятно, является источником хакерской атаки n0n. Согласно информации на DLS, группа затребовала выкуп в общей сложности в 1,2 миллиарда долларов!!! Безусловно, большинство проигнорировали этот счет, так что их данные были слиты. Пострадавшие охватывают 18 стран и включают в себя операторов контейнерных портов, промышленных портов, портовые администрации, компании морской логистики, судоуправляющие компании, поставщики портового оборудования и множество организаций, связанных с морской отраслью, в том числе океанографическими исследованиями. Представленный инцидент является одной из крупнейших кибератак на морской сектор со времен NotPetya в 2016 году. Сама n0n образовалась в середине сентября, и на её DLS уже висит более 140 жертв. При таком темпе группа, вероятно, войдёт в пятёрку самых активных по результатам четвёртого квартала. Вообще же, с учётом уже имеющихся цифр n0n занимает третье место среди самых активных банд вымогателей в третьем квартале, сразу после Qilin и The Gentlemen (PDF).

Justin.sh сообщает о появлении конфиденциального документа, согласно которому Cellebrite, по всей видимости, обзавелась новой 0-day для взлома iPhone. Сама Cellebrite называет этот функционал Advanced Unlocks (AU), который описывается «прорывной метод» предоставления доступа к AFU для iPhone 11-16 на iOS 26-26.4+, с обещанием расширения зоны покрытия. При этом и не следует путать это с «услугами расширенной разблокировки», которые они рекламируют уже много лет. Сам слитый документ датирован мартом 2026 года, последнее обновление - 15 сентября. Примечательно, что в нём на том момент отсутствуют iPhone 17 и Air. Кроме того, новый продукт Cellebrite анонсировала в недавнем пресс-релизе, который подтверждает, что AU - это абсолютно новое решение, которое должно было встать на вооружение израильской компании в 2026 году. Если верить Cellebrite, то AU: - Это «вектор AFU следующего поколения, более устойчивый к изменениям операционной системы Apple». - Работает при включенной защите от кражи устройств, что ужесточает ограничения на использование USB-устройств. - Реализуется специальным устройством с заявленной дальностью действия (!) около 8 метров. Автор в своем исследовании описывает свои попытки разобраться в ситуации, чего ему в полной мере так и не удалось. Вместе с тем, пришел к выводу, что новая 0-day представляет собой аппаратно-независимую цепочку Bluetooth-UWB и каким-то образом связана с менеджером подключений L2CAP. При этом Cellebrite позиционировал AU как «более устойчивую к изменениям ОС Apple», однако модель 17 была указана в списке их общих возможностей Inseyets, но не в AU (вероятно, обновление iOS все же нивелировало возможность взлома). В общем, автор отметил, что так или иначе Apple незаметно исправила неприятную уязвимость, распространявшуюся по беспроводной сети, в iOS 26.5, но не упомянула об этом в бюллетене безопасности. Отмечая, что усилия Apple по повышению уровня защиты приносят свои плоды. Порты зарядки исторически были основным входом для инструментов криминалистического анализа, однако их снижающаяся эффективность, вероятно, вынуждает обращать внимание на менее привлекательные пути, как в случае с Bluetooth. В частности, незадолго до публикации Calif на конференции Hexacon продемонстрировала серьезные возможности беспроводных эксплойтов. Так или иначе, будем посмотреть.

Исследователи Positive Technologies представили аналитику актуальных трендов теневого рынка киберугроз: ИИ, блокчейн и кризис инфраструктуры. В новом исследовании Позитивы проанализировали, как ключевые технологические тренды, включая развитие ИИ и блокчейн-инфраструктуры, влияют на TTPs злоумышленников. Отметим ключевые тренды злоумышленников, выделенных в отчете по итогам первой половины 2026 года: - На теневых ресурсах ИИ по-прежнему используется как маркетинговый ход, однако все чаще появляются инструменты, в которых он применяется на практике. Примером служит AI hRDP, где ИИ-агент переводит текстовые команды оператора в прикладные действия по управлению устройством. - Развитие ИИ приводит к двум параллельным угрозам: технология не только берется на вооружение злоумышленниками, но и сама становится мишенью кибератак. Так, оркестратор Scorpion автоматизирует поиск уязвимостей, а троян KAIDO RAT целенаправленно атакует рабочие среды разработчиков и перехватывает данные из ИИ-платформ вроде Claude. - Наблюдается зарождение тренда среди банд вымогателей на использование проприетарных ИИ-модулей для глубокого анализа похищенных данных. Нейросети позволяют злоумышленникам автоматически находить наиболее чувствительные документы, оценивать репутационный ущерб и рассчитывать оптимальную сумму выкупа. - Генеративный ИИ активно используется для написания вредоносного ПО, однако его использование не поддерживается теневым сообществом: процесс разработки теряет необходимую скрытность и становится уязвимым для обнаружения. - Ботнеты начинают использовать блокчейн-инфраструктуру вместо традиционных DNS- и C2-механизмов, повышая таким образом устойчивость управления, что усложняет обнаружение и блокировку подобных архитектур. - Злоумышленники все чаще атакуют не уязвимости в коде, а бизнес-логику и процессы принятия решений. Так, появились инструменты для автоматизации атак на голосовые меню и манипуляция репутацией вредоносных файлов на VirusTotal для обхода защитных фильтров. - Проблемы сразу у нескольких крупных хостингов и VPN-провайдеров вызвали кризис доверия в теневой среде. Эти инциденты наглядно показали, что злоумышленники тоже уязвимы перед рисками цепочки поставок.

В продолжение по PHP2Shell хотелось бы отметить еще ряд важных моментов. По данным Amazon, злоумышленники начали проверку серверов, затронутых двумя критическими уязвимостями в PHP, за четыре дня до выхода исправлений. Первая эксплуатация PHP2Shell произошла 17 октября с анонимизированного IP, когда информация об уязвимостях еще не была опубликована. Примерно за 12 часов до публичного раскрытия Amazon выявила несколько прототипов PHP2Shell на основе дополнительной анонимизированной инфраструктуры. Различия в полезных нагрузках и происхождении указывают на участие нескольких злоумышленников. Как отмечает в Amazon, после снятия эмбарго и выпуска патча в течение нескольких часов появились дополнительные эксплойты, а сейчас PHP2Shell широко используется киберподпольем в реальных условиях. В свою очередь, WatchTowr, как мы уже отмечали, также зафиксировала массовое использование уязвимостей вскоре после выпуска патчей, хотя ни один из распространяемых PoC не обеспечивал RCE. По данным телеметрии Cloudflare, за 10 часов до публичного объявления фиксировались тысячи попыток взлома, за 45 минут после объявления их число подскочило до десятков тысяч, за 2 часа - до сотен тысяч, а сейчас - до миллионов. Как сообщила ELLIO, первый запрос PHP2Shell, направленный на их датчики, был зафиксирован 21 октября 2026 года в 8:36 утра по UTC, менее чем через час после того, как Chainguard в одностороннем порядке нарушила эмбарго и опубликовала собранные образы, содержащие исправление. Исследователи JFrog обнаружили, что на GitHub уже публикуются фейковые эксплойты и вредоносные ПО, нацеленные на PHP2Shell. VulnCheck сообщает, что по меньшей мере с одного китайского IP была предпринята безуспешная попытка использовать уязвимость PHP2Shell для развертывания веб-оболочки. Согласно данным VulnCheck, VirusTotal и Censys, по состоянию на 21 октября более 1 млн. PHP-серверов работали под управлением необновлённых версий ПО. А если точнее, то: - Из 2,58 млн. доступных из интернета хостов, зарегистрированных 21 октября, примерно 1,58 млн. сообщали об идентифицируемых версиях PHP, а около 1,57 млн. не были обновлены. По состоянию на 22 октября Censys отследила почти 3 млн. доступных из интернета хостов PHP. - В VulnCheck обнаружили более 2,6 млн. доступных из интернета хостов используют PHP, и почти все они уязвимы. По меньшей мере 1 млн. используют версии PHP, поддержка которых прекращена: более 700 000 - это PHP 3.x - 7.3, а почти 400 000 - PHP 7.4, 8.0 или 8.1. - По данным VirusTotal, примерно 5,1 млн. IP используют PHP, но только 1,1 млн. из них указывают версию в HTTP-заголовке. Из них лишь около 272 000 используют поддерживаемую версию PHP, в то время как большинство (около 758 000) используют устаревшие версии (PHP 5.4–8.1). По мнению исследователей Forescout и Expel, PHP2Shell имеет потенциал стать событием масштаба Log4Shell и уже примерно на 50% приблизился к нему. Кстати, OpenAI, назвавшая эти недостатки «одной из самых серьезных проблем безопасности за последнее время», выпустила навык Codex для проверки уязвимости сайта или локального исполняемого файла PHP к PHP2Shell.

Продолжаем отслеживать последние сообщения по PHP2Shell. 20 октября команда разработчиков PHP выкатила уведомление о предстоящем экстренном релизе, который устраняет две критические уязвимости (CVE-2026-109618 и CVE-2026-109619, обе CVSS 9,2). Выпуск экстренных патчей состоялся 21 октября в 17:00 по МСК. Две RCE без аутентификации были обнаружены  исследователями Calif, OpenAI и Wiz, затрагивают все установки PHP, обрабатывающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed. Как пояснила Calif, первоначальная уязвимость OOM в PHP была обнаружена еще в 2020 году, а затем повторно выявлена во время аудита PHP в 2024. Однако, в виду отсутствия доказательств эксплуатации, ее не исправляли. Благодаря передовым моделям ИИ, уязвимость OOM удалось лучше проанализировать и в конечном итоге превратить в боевую RCE. Согласно анализу Wiz, CVE-2026-109618 и CVE-2026-109619 объединяют четыре проблемы безопасности памяти в PHP, но не охватывают все варианты. Как отмечают специалисты, существуют как отслеживаемые, так и, вероятно, еще неотслеживаемые варианты. Релиз пришлось ускорить после того, как информация об уязвимостях утекла в публик раньше запланированного снятия эмбарго. На момент публикации статьи CVE были зарезервированы, но не раскрыты. После чего исследователи Watchtowr подтвердили существование уязвимостей. Параллельно с утечкой деталей, в сети появился эксплойт под неофициальным названием PHP2Shell. В утекшем демо-видео эксплойт показан в действии на веб-серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS, на которых работает почти 75-80% всех современных сайтов. Как пояснили в Лаборатории Касперского со ссылкой на автора PoC, уязвимости связаны с обработкой типа multipart/form-data вместе с механизмом сессионного прогресса загрузки (session.upload_progress) в ядре PHP и относятся к классам Use-After-Free и повреждения памяти. Это означает, что дефекты не могут быть закрыты средствами прикладного кода - исправление возможно только путем обновления PHP на сервере. Атака работает без аутентификации: злоумышленник, имеющий сетевой доступ к PHP-приложению, может выполнить произвольный код от имени процесса PHP без необходимости проходить авторизацию. Рекомендации PHP от 21 октября, подтверждают эти данные. Уязвимости затрагивают PHP версий 5, 6, 7 и 8. Поддерживаются ветки от 8.2 до 8.5. Более старые ветки, включая PHP 8.1, 8.0, 7.x и 5.x, достигли EoL, однако ввиду высокого уровня критичности уязвимостей для версий 7.4, 8.0 и 8.1 также были выпущены бэкпорт-патчи. Как заявляет команда безопасности PHP, наибольший риск представляет mod_php, поскольку доказана уязвимость, при которой неаутентифицированный запрос может спровоцировать атаку до выполнения какого-либо кода приложения. До выпуска и уже накануне обновлений Cloudflare подтвердила первые атаки, направленные на PHP2Shell, как и Watchtowr, отметившая, что никому из злоумышленников на тот момент не удалось добиться успеха. Множественные попытки нацеливания на php2shell задетектила Hadrian. Также об эксплутациии уязвимостей с использованием публичного PoC сообщили в Patchstack и Vega. Команда безопасности PHP помимо патчей поделилась мерами по смягчению последствий, однако они и не обеспечивают полной защиты от эксплуатации (подробная информация доступна в блоге разработчиков).

Солары препарировали HypeAgent, относя его к зловреду из эпохи, когда один троянец должен был уметь все. Современный подход подразумевает, что вредоносные ПО создаются под конкретную задачу. Стилер крадет данные, загрузчик устанавливает следующий модуль, майнер добывает крипту, а программа удаленного доступа обеспечивает управление зараженным компьютером. Если возможностей требуется больше, их обычно делят между несколькими компонентами, однако HypeAgent устроен иначе, напоминая трояны «старой школы», авторы которых стремились получить полный контроль над компьютером. HypeAgent распространялся преимущественно через вредоносные почтовые вложения, чаще всего маскируя под письма про оплату и заказы на поставку. Прикрепленный к письму JavaScript является первым звеном цепочки. Скрипт скрыто запускает PowerShell, после чего несколько промежуточных загрузчиков последовательно расшифровывают и передают друг другу следующие стадии. Значительная часть этого процесса проходит в памяти - .NET-сборки загружаются без сохранения в виде обычных исполняемых файлов на диске. Конкретная реализация цепочки может различаться, но ее конечная задача скрытной доставки HypeAgent остается единой. Одна из последних стадий маскируется под PNG-изображение. Файл имеет корректную структуру и нормально открывается в просмотрщиках, однако внутри текстового блока iTXt с названием Description скрывается зашифрованная полезная нагрузка.  Загрузчик извлекает данные из метаданных PNG, расшифровывает их и запускает полученный HypeAgent внутри процесса svchost.exe. В исследованном семпле HypeAgent обнаружено 195 реализованных команд верхнего уровня. Некоторые команды содержат собственные меню с дополнительными операциями, поэтому общее количество доступных действий превышает две сотни. Среди возможностей HypeAgent встречаются функции, которые сложно ожидать от современного вредоноса. Например, умеет открыть и закрыть лоток CD/DVD-привода, если такой привод вообще установлен. Обычный вредоносный арсенал тоже присутствует: работа с файлами, процессами, службами и реестром, командная строка, веб-камера, запись звука, буфер обмена, криптоклипер, DLL-инъекция, автозапуск и планировщик задач. HypeAgent реализует сразу несколько вариантов удаленного управления компьютером. Первый - обычная трансляция экрана с передачей движений мыши и нажатий клавиш (классическая схема любого RAT). Второй - HVNC, то есть отдельный скрытый рабочий стол, которого не видит пользователь. Третий вариант - Hidden RDP. Его реализация интересна тем, что HypeAgent не влияет на системные termsrv.dll и umrdp.dll через свои обертки.  Необычно реализована и работа с сетью. HypeAgent способен поднять TCP-туннель, изменить файл hosts, очистить DNS-кеш и показать таблицу маршрутов. Кроме того, может разорвать конкретное TCP-соединение по адресам и портам, не завершая использующий его процесс. Еще интереснее выглядит встроенный HTTPS-прокси с собственным локальным центром сертификации. Для обычного RAT излишняя по этой части функциональность выглядит уже довольно экзотично, превращая HypeAgent из инструмента удаленного управления в средство вмешательства в веб-трафик зараженного компьютера. Интересно устроена работа с украденными cookies. HypeAgent не просто собирает их из браузеров, а пытается валидировать сессии через настоящие сайты и API. Кроме того, HypeAgent включает функционал, больше похожий на инструментарии системного администратора. Под капотом есть и лайнер, больше похожий на самостоятельный продукт, а также - отдельная опция, предназначенная для electron-кошельков. В целом, более двухсот действий выглядят не случайно раздутым списком: они отражают сам подход разработчика. В этом смысле HypeAgent действительно напоминает зловреды старой закалки: получить компьютер целиком — и уже потом решить, что с ним делать. Подробный технический обзор и IOCs - в отчете.

Злоумышленники взломали сайт TeamUpdraft, разработчика популярных плагинов для резервного копирования и безопасности WordPress, потенциально скомпрометировав ключи подключения UpdraftCentral, которые позволяют отправлять команды на подключенные сайты. В выходные дни TeamUpdraft обнаружила несанкционированный доступ к своей инфраструктуре, полагая, что хакер получил доступ к базе данных клиентов. При этом один лишь UpdraftPlus плагин для резервного копирования и восстановления имеет более 4 млн. загрузок. Поставщик полагает, что, по его мнению, злоумышленник получил доступ к базе данных, которая содержала информацию о клиентах, платежных реквизитах, истории заказов, а также более конфиденциальную информацию, включая хеши паролей, настройки 2Fa и ключи подключения для сервисов UpdraftCentral, UpdraftVault и UpdraftClone. При этом в TeamUpdraft отмечают, что файлы плагина UpdraftPlus и возможности его загрузки остаются без изменений. Самостоятельно размещенные экземпляры UpdraftCentral также не затронуты. Даже если резервные копии в собственном удаленном хранилище клиентов не затронуты, компания рекомендует обновлять учетные данные хранилища и повторно авторизовывать подключения, если они заходили на свой сайт через UpdraftCentral. По оценкам, примерно 10% сайтов, использующих UpdraftPlus, имеют ключ UpdraftCentral или Migrator, что потенциально подвергает атаке около 400 000 сайтов. По мнению Patchstack, злоумышленники начали использовать украденные ключи доступа для внедрения бэкдоров на сайты, подключенные к UpdraftCentral, и предполагают, что на самом деле кампания может быть гораздо более масштабной, нежели атака wp2shell. Исследователи отследили начало атак 18 октября в 15:32 UTC, когда атакующие нацелились на RCE и добавление учетных записей с полными правами администратора. Зафиксировано как минимум 99 вредоносных плагинов-бэкдоров с различными названиями, замаскированных под инструменты для обслуживания и оптимизации WordPress, например, Site Health Cache. Patchstack описывает ранний вариант плагина-бэкдора, который оказался неработоспособен из-за ошибки в коде. В отчете Nethemba представлена более новая версия, позволяющая злоумышленникам создавать привилегированные учетные записи или входить в систему от имени существующих администраторов. Исследователи Nethemba отметили, что три её собственных сайта на WordPress также стали плацдармом для вредоносных плагинов UpdraftCentral. Злоумышленник проник на сервер через канал удаленного управления UpdraftCentral и подписал команды, используя действительные закрытые ключи панели управления. Пользователям рекомендуется обновиться, после чего войти на каждый сайт WordPress и удалить ключи подключения UpdraftCentral. Также следует проверить журналы и файлы на наличие IOCs от TeamUpdraft, Patchstack и Nethemba. В случае подтверждения взлома - восстановить сайты из чистых резервных копий, изменить пароль учетной записи TeamUpdraft, аннулировать все сессии и сбросить 2Fa.

Исследователи Лаборатории Касперского сообщают о новой компании APT Lazarus, называя эту активность Операция FlashHole. Обнаруженная в январе новая волна атак группы северокорейской группировки стала продолжением прошлогодней Операции SyncHole и также была направлена на цели в Южной Корее. Злоумышленники использовали доработанную цепочку заражения, которая сочетала в себе уже известное и новое вредоносное ПО. Кроме того, использовали в ходе атаки очередную защитную программу, обязательную для установки в Южной Корее, применяя watering hole. Примечательно, что в этой кампании группа работала с целями более тщательно: злоумышленники рассылали целевые фишинговые письма со ссылками на поддельные, но релевантные сайты - например, страницы с портфолио и резюме, подготовленные под каждую жертву. Первые следы новой кампании появились в июле 2025 года. Вероятно, Lazarus начали подготовку к ней вскоре после завершения Операции SyncHole, которая продолжалась не менее четырех месяцев. В ЛК выявили как минимум три организации в Южной Корее из числа жертв новой кампании. Они работают в сферах разработки ПО, строительства и производства оборудования проводной связи. По сравнению с Операцией SyncHole набор отраслей и, соответственно, круг изменился - расширился. В общем, спустя более года после первого обнаружения SyncHole в ЛК выявили аналогичную подозрительную цепочку выполнения, но на этот раз злоумышленник злоупотреблял CrossWeb EX, а не Cross EX (оба приложения поддерживаются одним разработчиком и связаны с защитой финансовых операций). Причем Lazarus эксплуатирует это ПО не впервые: в 2021 году применяла его для доставки загрузчика Racket, а также в 2022 и 2023 годах. Пока остается неизвестным, как именно злоумышленники использовали CrossWeb EX, но установлено, что цепочка атаки в итоге ведет к выполнению вредоносного ПО в памяти. При этом создаваемый процесс выполнялся с высоким уровнем целостности. Родительский процесс INISAFECrossWebEXSvc.exe относится к комплекту установки INISAFE CrossWeb EX V3 версии 3.4.1.2, которая была выпущена в 2023 году после выхода бюллетеня KrCERT. Как уже отмечалось в отчете по SyncHole, данная схема полностью соответствует давней стратегии APT, которую она применяет в Южной Корее на протяжении многих лет. Поскольку CrossWeb EX и подобное ПО обязательно для пользователей в Южной Корее и обычно работает в фоновом режиме для взаимодействия с браузером, группа использует его в качестве ключевого вектора атаки. В 2025 году на симпозиуме USENIX Security было представлено исследование уязвимостей обязательного в Южной Корее ПО для обеспечения безопасности, непреднамеренно создающих обширную поверхность атаки. В июле 2026 года корейское правительство и ряд местных поставщиков решений для ИБ также опубликовали совместный бюллетень, в котором описаны типичные техники атак Lazarus, в том числе эксплуатация ПО, предназначенного для защиты финансовых операций. Вместе с тем, несмотря на то что информация в бюллетене пересекается с результатами отчетов по Операциям FlashHole и SyncHole и подробный отчет AhnLab (под названием Operation Double Barrel о недавней активности Lazarus), исследователям Лаборатории Касперского удалось провести более точную атрибуцию на основе используемых группой TTPs. Новое исследование показывает, что Lazarus от кампании к кампании дорабатывает свой арсенал и в итоге применяет усовершенствованную цепочку заражения на их основе. Группа по-прежнему использует улучшенную версию LPEClient для профилирования жертв и доставки вредоносной нагрузки. При этом перешла на более защищенную постквантовую криптографию. Как и ожидалось, целевые атаки на Южную Корею продолжатся, при этом не предполагалось, что одновременно будут вестись сразу несколько кампаний, каждая из которых будет использовать свое ПО и инструменты. Примечательно, что кластер COPPERHEDGE, судя по всему, занимается монетизацией атак, тогда как Операция FlashHole нацелена на шпионаж. Подробный технический разбор цепочки атак и инструментария - в отчете.

Надвигается массовая эксплуатация критических уязвимостей PHP, получивших условное название PHP2Shell. CVE-2026-109618 и CVE-2026-109619 потенциально могут привести к несанкционированному RCE, а подробности уже просочились в сеть, опередив запланированное скоординированное раскрытие информации и выпуск официальных исправлений. По данным CERT-EU, исходя из их оценки CVSS, обе уязвимости могут быть использованы без аутентификации. Во вторник PHP предупредила, что исправления критических проблем, обе с оценкой CVSS 9.2, запланированы на среду, 21 октября 2026 года, в 14:00 UTC (10:00 утра по восточному времени), призвая разработчиков подготовиться к беспромедлительному обновлению. Исправления могут быть внедрены раньше, если будут опубликованы технические подробности об уязвимостях или появятся доказательства их эксплуатации в реальных условиях. В сети эти уязвимости уже успели называть PHP2Shell, что предполагает возможность их использования злоумышленниками для получения доступа к командной оболочке на уязвимых серверах. В описании CVE-2026-109618 и CVE-2026-109619 не указаны ни первопричина, ни затронутый компонент или путь атаки, но в одном из отчетов упоминается, что первая представляет собой ошибку типа «использования памяти после освобождения». Кроме того, по сообщениям общественности, проблема затрагивает все версии PHP, начиная с PHP 5. В WatchTowr утверждают, что ей удалось успешно воспроизвести уязвимость CVE-2026-109618, но в компании воздержались от предоставления дополнительной информации до выпуска исправлений. Вместе с тем, WatchTowr и Huntress ответственно заявляют, что пока не наблюдали случаев эксплуатации ни одной из этих уязвимостей в реальных условиях. Однако, по данным Sansec, массовая эксплуатация, скорее всего, начнётся в течение 15 минут !!! после выхода патча. Но будем, конечно, посмотреть.

В начале этого месяца таинственный злоумышленник смог взломать более 330 серверов Tor, провернув массовую кампанию по перехвату трафика пользователей. В частности, были скомпрометированы ретрансляторы Tor, после чего заражены вредоносным ПО Ebury Linux, что превратило их в выходные ретрансляторы, где злоумышленник смог перехватывать SSH-соединения и понижать уровень шифрования почтовых соединений для кражи незашифрованного трафика. Хакерская атака оставалась незамеченной в течение трех дней, со 2 по 5 октября, пока ее не обнаружил швейцарский инженер, который сообщил об этом команде безопасности Tor. Администрация Tor уведомила операторов ретрансляторов о продолжающихся взломах. По результатам прохождение любого трафика Tor удалось заблокировать путем как отключения взломанных серверов, так и добавиления их в черный список. Как отмечают специалисты, наблюдаемый инцидент стал одним из крупнейших в сфере безопасности в истории сети Tor, затронув более чем 10% выходных ретрансляторов.

Злоумышленники использовали подлинную, подписанную копию Siemens Software Center в сочетании со вредоносными DLL-файлами для заражения компьютеров под управлением Windows с помощью ClickFix. Siemens Software Center обеспечивает загрузку, установку, активацию и обновление ПО, приобретенного клиентами, а также может использоваться для запуска бесплатных пробных версий. CVE-2026-110936 обусловлена тем, что программа некорректно ограничивает места поиска DLL-файлов. Авторизованный локальный злоумышленник может внедрить вредоносный DLL в одну из этих папок и выполнить свой код с теми же привилегиями, что и Software Center. Siemens сообщила об уязвимости 15 октября в уведомлении, присвоив ей оценку CVSS v4 8,4. Два дня спустя компания обновила его, поясняя что версия 4.0.9.8 устраняет проблему. Пользователи, у которых приложение уже установлено, получат исправление автоматически при следующем запуске. В предупреждении не упоминалось об использовании уязвимостей в реальных условиях до понедельника, когда Siemens добавила ссылку на новое уведомление c описанием атаки. Злоумышленники сопоставили легитимную копию программы Siemens, имеющую действительную цифровую подпись, с вредоносными DLL. При запуске программа загружала предоставленные злоумышленниками файлы из своей собственной папки. Siemens отметила, что версия 3.5.8.7, самая новая на тот момент, не проверяла эти вспомогательные файлы перед их загрузкой, а ПО не подвергалось изменениям и что вредоносный пакет не распространялся через каналы дистрибуции. Компания поделилась информацией об угрозах с силовиками и поставщиками решений EDR. В своем блоге компания привела также список IOCs, а также признаки возможного заражения компьютера. Поскольку файл Siemens, использованный в атаках, является легитимным, компания рекомендует сосредоточиться на подозрительном поведении и папках, связанных с вредоносным ПО, вместо того чтобы полагаться на хеши файлов. Siemens связала атаки с Romulus, многоплатформенной кампанией ClickFix. Атаки основаны на поддельных запросах, включая ложные проверки CAPTCHA, которые предписывают пользователям вставлять и выполнять вредоносные команды на своих устройствах. На прошлой неделе Forescout представила исследование Romulus, платформы доставки ClickFix, способной распространять несколько различных вредоносных ПО. Платформа работает на нескольких серверах, включая тот, который Siemens определила как сервер распространения вредоносного пакета, содержащего её ПО. По данным Forescout, платформа распространяла вредоносное ПО LegionLoader, а также троянизированный установщик, который использовал легитимное приложение Stardock для установки DLL-файлов. Вместе с тем, исследователи не смогли установить, кто управляет Romulus. В конце сентября Huntress также описывала тот же пакет на основе Stardock в отчете о кампании, в которой использовались вредоносные пользовательские GPT-файлы ChatGPT для заманивания пользователей на страницы ClickFix. В ходе этих атак использовались подписанные программы от Canon, а позже от Stardock, для загрузки вредоносного кода, который в конечном итоге развертывал RAT. Huntress отработала как минимум на 40 инцидентов, связанных с кампанией, заявляя, что, по ее мнению, подписанные программы от других поставщиков, вероятно, также используются не по назначению. В отчетах Huntress и Forescout программное обеспечение Siemens не упоминается. Однако дублирующаяся инфраструктура и схожий подход к загрузке позволяют предположить, что софт Siemens мог быть добавлен в тот же набор инструментов.