Порвали два трояна

Интересные исследования APT и новости ИБ за неделю

🪲Разбор новых инструментов группы Armored Likho, в первую очередь трёх версий троянца BusySnake RAT, а также троянца open source, Kharon, интегрированного с AdaptixC2. При этом C2 переехали с Telegram Bot API на переменные окружения в CI/CD-пайплайнах GitLab, а сами вредоносные нагрузки — в приватные репозитории. Артефакты в коде загрузчика указывают на использование генеративного ИИ в ходе разработки.

🔎 Кластер угроз UAT-10147 встроил агентский ИИ в постэксплуатационную активность. ИИ используется для написания скриптов автоматизации и проверки вредоносных нагрузок. Группа объединила старые уязвимости со свежими багами повышения привилегий в Linux, чтобы разворачивать QuasarRAT, Gh0stCringe, NoodleRAT и Meterpreter против целей в госсекторе, образовании, медиа, технологической отрасли и игровой индустрии в Бразилии, Боливии, Китае, Канаде и Вьетнаме.

🌚 Злоумышленники скомпрометировали три Rust crate на crates.io, включая популярный arrayref, в итоге устанавливают инфостилер. Атака длилась всего 23 минуты, но целевой пакет используется в трёх четвертях сред, где применяется Rust. Инфраструктура атаки пересекается с кампаниями Sapphire Sleet.

🟢Группа Ransom Busters LTD рассылает письма жертвам шифровальщиков ещё до того, как факт взлома становится публичным, утверждает, что взломала серверы вымогателей, и предлагает удалить похищенные данные за сумму от $20000 до $60000. Судя по всему, в реальности это те же злоумышленники, которые и осуществляли первичное вторжение.

❗️ Редкий и опасный случай — ВПО обнаружено на автомобильных головных устройствах (конечно, Android). В атаке используется длинная цепочка, злоупотребляющая легитимным системным приложением, которое обновляет прошивки через MQTT-брокер. В конце концов на автомобиль (!) устанавливают модули для рекламного мошенничества и добавляют авто в сеть домашних прокси. Активность связана с группой MoYu Group и платформой BADBOX.

🔵Новая тактика группы GOFFEE/Paper Werewolf. Атакующие подменили файлы 7-Zip и Git в корпоративном репозитории ПО на троянизированные сборки, а также модифицировали три ISO-образа Windows.

🟢Анализ ранее неизвестного шпионского ПО для Android, DragonDoll. Оно распространяется через фишинговые страницы, имитирующие обновление Google Chrome, с текстами приманок на 34 языках, включая Россию, Ближний и Дальний Восток и Африку.

🆔 Разбор нового набора инструментов для целевого фишинга. Он регистрирует подконтрольный злоумышленникам passkey в каждом скомпрометированном аккаунте, атака нацелена на учётки Google, Microsoft, iCloud и LinkedIn. Доступ сохраняется даже после смены пароля и отзыва сессий, а отзыв passkey пока вошёл не во все плейбуки реагирования.

🔵Кампания тайпсквоттинга, начавшаяся в репозитории RubyGems, расширилась на npm: пакеты распространяют Windows-инфостилер StubMaker. Инсталляционные хуки срабатывают автоматически, даже если пакет ни разу не был импортирован, в итоге в памяти запускается всеядный инфостилер на Go.

🟠Злоумышленники уже пытаются эксплуатировать CVE-2026-19478 (CVSS 9.4) в GitLab CE и EE. Дефект позволяет неаутентифицированному атакующему изменять или удалять публичные проекты и пользовательские данные через GraphQL directive, включая подделку записей merge.

#дайджест #APT @П2Т

🔥 ИИ-ассистенты взламывают фитнес, в macOS можно зайти без пароля, а на форумах Steam распространяют зловреды по-новому. Самые интересные новости личной ИБ и конфиденциальности

1️⃣OpenAI запустила на Маках новую функцию под названием Computer History. Это примерно как Microsoft Recall, только хуже — распознавание действий пользователя на компьютере частично ведётся где-то в облаке, а результаты хранятся на компьютере жертвы пользователя в простых текстовых файлах. Авторам инфостилеров приготовиться.

2️⃣Claude присоединяется к рядам Gemini и тоже начинает маркировать все созданные им тексты. Маркировка состоит в том, что вероятность выбора моделью тех или иных слов немного меняется, что позволяет отличить созданные ею тексты. Стереть маркировку можно, существенно отредактировав текст.

3️⃣В WhatsApp появится маленькая локальная LLM, предупреждающая о мошеннических сообщениях. Обещают, что это необязательная, отключаемая функция.

4️⃣Такого ИИ-хакинга мы ещё не видели. Человек просто попросил, чтобы ИИ-ассистент записал его в фитнес-зал на тренировку. А ИИ взломал систему бронирования в фитнесе, чтобы расчистить очередь.

5️⃣В новой версии браузера Brave добавили защиту от идентификации (fingerprinting) пользователя на базе особенностей видеокарты.

6️⃣А в Signal появилась автоматическая сверка ключей пользователей.

7️⃣Рекламную платформу Adform, которая демонстрирует рекламу на десятках тысяч обычных сайтов, кратковременно взломали злоумышленники и вместе с рекламой «показывали» скрипт, ворующий криптовалюту. Подробности инцидента и советы по защите — в нашем посте. К сожалению, откровенно вредоносная реклама перестала быть экзотикой.

8️⃣Злоумышленники используют уязвимость в macOS Tahoe, чтобы дистанционно запускать приложения, майнить криптовалюту и воровать данные. Они делают это через уязвимость в стандартной функции macOS Screen Sharing. Дефект, позволяющий зайти в чужой Мак без пароля, устранён 6 августа.

9️⃣На форумах Steam участились атаки ClickFix. Под видом решения проблем с запуском игр мошенники советуют «волшебные команды», устанавливающие вредоносное ПО.

#дайджест #Азбука_ИБ @П2Т

😞 ИИ плохо чинит уязвимости

Хотя ИИ значительно ускорил поиск новых уязвимостей, с применением LLM для их устранения не всё так однозначно.

Исследователи скормили двум передовым моделям шесть свежих и сложных уязвимостей, названия и CVE которых вы почти наверняка знаете: CVE-2026-31431 (CopyFail), CVE-2026-34197 (RCE в ActiveMQ), CVE-2026-45185 (DeadLetter, RCE в EXIM) и др. Затем для них попытались генерировать патчи — 6080 (!) раз.

Результаты:
🥳 26% — патч реально устраняет уязвимость, не меняя поведение приложения;
🤨 20% — патч работает, но значительно меняет поведение приложения (например меняя политику с allow by default на deny);
🗿 в оставшихся ~53% случаев патч либо не устранял уязвимость, либо вносил новую, либо и то, и другое одновременно.

При этом полный цикл генерации одного патча на GPT 5.5 и Opus 4.8 обходится в 2-3 доллара, без учёта того нюанса, что попытку надо будет повторять многократно, а результаты всё равно должен проверять квалифицированный инженер.

В отчёте есть забавный комментарий Антропиков, который сводится к тому, что патчи нужно тестировать в автоматическом режиме. Вроде и не поспоришь, но практические результаты этого глубоко автоматического подхода хорошо видны каждый второй вторник месяца, а вернее спустя 2-3 дня после него. Ну и конечно в дни, когда не работает GitHub.

#новости @П2Т

🎯 Интересные исследования APT и новости ИБ за неделю

🔵Анализ обновлённого бэкдора CoolClient, применяемого APT HoneyMyte/Mustang Panda. Теперь в нём используется руткит уровня ядра. Среди жертв — госструктуры в РФ, Пакистане, Монголии и Мьянме. Атакующие сначала применяют ВПО PlugX, затем переходят к установке CoolClient, который загружается по технике DLL sideloading в связке с легитимным исполняемым файлом Sangfor. Подписанный драйвер скрывает файлы ВПО и маскирует сетевой трафик.

🟣Разбор новой волны операции Dream Job, которую APT Lazarus провела против организаций оборонной и аэрокосмической отраслей в Европе и Индии, используя фальшивые предложения о работе в качестве приманки. Кампания злоупотребляет OneDrive для C2 и тоже включает руткит уровня ядра, эксплуатирующий недавно закрытый зиродей в Windows. Кроме того, группа скомпрометировала серверы Roundcube и WordPress, используя их как узлы переадресации.

🟣Разбор логов атаки, в которой рой ИИ-агентов провёл в значительной степени автономную кампанию против государственных структур в Азии. В течение четырёх дней в июле прошло 12 волн атак. Операция затронула ИТ-поставщиков, агентство по ядерной безопасности, энергетические компании. В результате было создано примерно 1400 файлов, взломано 85 учёток и извлечены тысячи записей с персональными данными сотрудников. Фреймворк задействовал до восьми субагентов в каждой волне. В качестве обвязки использовались Hermes и OpenClaw, а провайдер LLM неизвестен.

🔵Новый анализ Project CAV3RN, модульного шпионского фреймворка, нацеленного на организации в Израиле. Свежая версия ВПО запрашивает записи DNS-A, чтобы выбрать канал для каждой транзакции, переключаясь между прямым HTTPS и промежуточным узлом, использующим Google Apps Script, маскируя трафик под легитимную инфраструктуру Google.
Данные С2 собираются из фрагментированных DNS-ответов, позволяя операторам менять инфраструктуру без обновлений ВПО.

🟣Группа Jewelbug параллельно вела правительственный кибершпионаж и криптовалютное мошенничество, используя общую инфраструктуру и единую панель управления. Среди целей — министерства и военные организации на Ближнем Востоке и в ЮВА. Набор инструментов включает вредоносное браузерное расширение, Windows-бэкдор и имплант на Rust для Linux-серверов и сетевых устройств.

🟢Анализ нового шпионского инструментария на Rust, используемого Armored Likho/Eagle Werewolf. Среди жертв — корпорации, государственные ведомства, ИТ-компании и образовательные учреждения. Один новый модуль крадёт данные Telegram-сессий, другой добавляет возможность прослушивания микрофона. Оба модуля используют GitHub-репозитории как резервный канал для восстановления адресов C2.

⚪️Ранее неизвестная группа, отслеживаемая как Malinsure, атакует организации из страхового сектора, финансовых услуг и энергетики, используя фишинговые приманки на тему программ ДМС и имитируя российские сервисы и банки.

🟠Большое расследование (часть 1, 2, 3) рынка, построенного вокруг dropcatching — практики повторной регистрации доменов сразу после истечения срока их действия. Ежедневно повторно регистрируется около 50400 освобождённых gTLD. Одна из групп, отслеживаемая как Sable Squirrel, предположительно потратила 7 миллионов долларов на просроченные домены и управляет более чем 10000 из них, размещая как нелегальные сайты спортивных трансляций и казино, так и C2 для многочисленных образцов ВПО.

🟣CloudSEK опубликовала доступную для поиска базу данных организаций, затронутых атакой на цепочку поставок, проведённой в марте 2026 года группой Team PCP. Пострадали примерно 2500 компаний, в БД указаны виды украденных учётных данных.

🔵Разбор нового вредоносного инструмента для атак с ретрансляцией NFC — WindRelay. Злоумышленник, выдающий себя за сотрудника банка, убеждает жертву установить Android-приложение и приложить банковскую карту к телефону.

🟣Во вторжениях начала 2026 года среда выполнения JavaScript, Deno, нередко использовалась для выполнения вредоносной нагрузки. Обфусцированный JavaScript передаётся прямо в командной строке в виде base64 и выполняется в памяти, так что ни один вредоносный скрипт не попадает на диск.

🔵Некоторые «партнёры» Akira пытаются использовать безопасный режим Windows с поддержкой сети, чтобы отключать EDR и Windows Defender, сохраняя при этом сетевой доступ.

#дайджест @П2Т

🏭 Атаки на АСУ ТП всё чаще становятся деструктивными

Эксперты Kaspersky ICS CERT опубликовали обзор инцидентов ИБ на промышленных предприятиях за второй квартал.
Они констатируют резко участившиеся целевые атаки на АСУ ТП, в которых разведка то и дело сочетается с деструктивными действиями. Злоумышленники демонстрируют профильные знания в предметной области, но их уровень подготовки крайне неоднороден (что намекает на разработку по подсказкам из нейросетей).

Среди инцидентов выделяются атака на израильское пищевое предприятие, приведшая к поломке холодильной установки, и компрометация контроллеров Rockwell Automation на объектах критической инфраструктуры США с кражей проектов и подменой данных. Также зафиксированы массовые DoS-атаки на Modbus-устройства, применение ИИ для поиска уязвимостей в мексиканских промышленных сетях и обнаружение мощного оружия киберсаботажа fast16 родом из 2005 года.

Подробный разбор более чем 40 групп атак, включая нацеленные на системы контроля топливных резервуаров и водоканалы, читайте на сайте ICS CERT.

#новости #ICS @П2Т

🔥 Августовский Patch Tuesday — 400 CVE, 3 зиродея

Ну что же, до конца лета осталось три понедельника, а значит пришло время изучать последние летние подарочки из Редмонда. В этом месяце Microsoft не дотянула до июльского рекорда, но цифра в 400 устранённых дефектов всё равно вызывает лёгкую дрожь. 176 уязвимостей приводят к повышению привилегий, 110 — к RCE, 86 — утечкам информации, 21 — спуфингу, 12 — отказу в обслуживании и 11 — к обходу функций безопасности. Из 42 критических уязвимостей, 37 вызывают исполнение прозвольного кода, а 5 — повышение привилегий.

Активно эксплуатируемый зиродей, CVE-2026-68820 (CVSS 7.0), является повышением привилегий через afd.sys. Как обычно, Редмонд не сообщает о контексте применения эксплойта, но исследователи, обнаружившие его, поделились подробным разбором атаки — это часть кампании кластера Lazarus по фальшивому найму разработчиков.

Два других зиродея были разглашены до устранения, но не использовались в атаках. Это CVE-2026-62832 (повышение привилегий через службу пользовательских профилей) и -72971 (несанкционированная модификация данных через драйвер unionfs.sys службы Windows Container Isolation FS). Первый патч крайне похож на устранение уязвимости LegacyHive от обиженного исследователя NightmareEclipse, а вот про второй почти ничего не известно.

Среди других дефектов примечательны:

CVE-2026-62878 (CVSS 9.8) — RCE в DNS Server, может быть инициирована атакующим без аутентификации и код получает высокие привилегии на сервере.

CVE-2026-62815 (9.8) — тоже RCE без аутентификации, но в реализации набирающего популярность протокола QUIC. Уязвимость найдена Юки Ченом, известным исследователем, спикером и членом программного комитета Security Analyst Summit (кстати, осталось всего три дня, чтобы подать свой доклад!)

CVE-2026-62911 (8.0) — повышение привилегий в Exchange Server черз обход аутентификцаии даёт атакующему доступ ко всем почтовым ящикам. Эксплуатацию демонстрировали на Pwn2Own, поэтому оценки Редмонда (exploit maturity: unproven, exploitation less likely) стоит, гхм, воспринимать с большим скепсисом.

О том, как справляться с такими большими пакетами уязвимостей и фиксов, мы писали здесь.

#новости #Microsoft @П2Т

🗿 Новые инструменты «Лиха», крупная волна Shai-Hulud и другие важные новости ИБ за неделю

🎃 Группа Awaken Likho/Core Werewolf отказалась от типовых средств удалённого администрирования в пользу собственных имплантов TokenBuoy и TokenBuoySH, которые применила против российских и белорусских госведомств. TokenBuoySH включает инструменты туннелирования, а для эксфильтрации используется Rclone.

🆔 Фишкиты AitM, размещённые на легитимных облачных платформах, включая Cloudflare Workers, Vercel и GitHub Pages, за 12 месяцев обнаружены на более чем 390 тыс. фишинговых страниц. Подробный разбор TTPs злоумышленников опубликован на Securelist.

👀 Сравнительный анализ помог связать бэкдоры Xctdoor и CRAT с APT Lazarus. Доставка осуществляется через целевой фишинг и поддельные установщики популярного в Южной Корее ПО.

⚪️Группа APT-C-24 была замечена за злоупотреблением механизмом развёртывания приложений Microsoft ClickOnce. С его помощью доставляют подписанные бэкдоры на .NET, которые устанавливаются при минимальном участии пользователя.

❗️ Две уязвимости в серверах видеоконференций TrueConf были объединены в цепочку группой Head Mare, чтобы подменять легитимные установщики клиента TrueConf на скомпрометированных серверах. Эти установщики содержат бэкдоры PhantomCore и PhantomGraph.

🔵Шестая волна npm-червя Shai-Hulud, теперь отслеживаемого как ChainDrop, скомпрометировала как минимум 444 пакета с суммарной месячной аудиторией более двух миллиардов загрузок. Началось всё 4 августа с захвата GitHub-аккаунта мейнтейнера keyv.

🔵Разбор операций сервиса домашних прокси под названием CanOworms, который управляет 633 подтверждёнными серверами более чем в десятке стран. Инфраструктуру сдают в аренду как шпионским APT, так и финансово мотивированным злоумышленникам. Наблюдаемый трафик связан с операторами Remcos, Quasar, NanoCore и AsyncRAT.

🔵Банда Interlock была замечена за применением легитимного фреймворка криминалистического анализа памяти Volatility3 на скомпрометированных хостах. Злоумышленники используют плагины hashdump и cachedump для извлечения NTLM- и LM-хэшей, а также кэшированных доменных учётных данных. Подтверждённые жертвы относятся к критической инфраструктуре, здравоохранению и образованию в Северной Америке и Европе.

🟣Новый macOS-инфостилер CrashStealer распространяется через троянизированный установщик поддельного приложения для видеоконференций под названием Werkbit, подписанный действительным сертификатом Apple Developer и прошедший notarization, что позволяет обходить Gatekeeper.

🔴Крупная кампания ClickFix против пользователей macOS распространяет инфостилеры AMOS и MacSync через более чем 250 доменов-двойников. Новые механизмы профилирования потенциальных жертв скрывают факт раздачи ВПО от исследователей и механизмов автоматизированного анализа.

#дайджест #новости @П2Т

❗️ Новые атаки APT-группировки Head Mare — обновите TrueConf!

Эксперты «Лаборатории Касперского» обнаружили новую атаку группировки Head Mare, в которой злоумышленники эксплуатируют уязвимости TrueConf Server для установки веб-шелла и последующей подмены установочных пакетов клиентского ПО TrueConf. Этот инсталлятор устанавливает не только клиент видеоконференций, но и ВПО PhantomCore и и PhantomGraph.

➡️ Даже если организация не использует TrueConf Server, её сотрудники могли заразиться этим ВПО при попытке войти в видеоконференцию, организованную контрагентами, загрузив скомпрометированный дистрибутив с их сервера.

Цепочка уязвимостей, использованных в атаке, устранена в последнем обновлении TrueConf Server (версия 5.5.5, а также 5.3.9 и 5.4.9).

Веб-шелл применяется для сбора данных об ИТ‑инфраструктуре, доступа к базе данных TrueConf и подмены оригинального дистрибутива TrueConf Client.

Мы рекомендуем организациям, использующим TrueConf, установить актуальную версию сервера 5.5.5.
 
Всем организациям рекомендуем убедиться, что клиентские дистрибутивы, загружающиеся с корпоративных серверов TrueConf, имеют действительную цифровую подпись TrueConf и не подменены. Обнаруженные нами вредоносные дистрибутивы не имеют действительной цифровой подписи. Проверить подлинность можно также на сайте производителя.
 
Общие сведения об атаке на IoC и рекомендации по защите — на Securelist, а механизмы и более детальная информация об атаке — в посте ICS CERT.

#новости #советы @П2Т

По интернетам ходит шутка, что среди передовиков ИИ-производства только у Google ещё не сбежала модель, а значит она — самая тупенькая. 
Нельзя исключать, конечно, Gemini 3.5 Pro что-то задерживается, но нам нравится другое объяснение. В отличие от молодых и бодрых ИИ-лаб, у Google, вероятно, всё в порядке и с мерами, и с процессами в ИБ.

@П2Т

Каждый понедельник мы выпускаем большой дайджест, в котором собираем вышедшие за неделю разборы ВПО, вредоносных кампаний и особо важных новостей ИБ, например масштабных уязвимостей. Насколько полезен и удобен такой формат еженедельного дайджеста лично вам? Можно выбирать несколько вариантов

Интересные исследования APT и новости ИБ за неделю

🟢Разбор новых кампаний APT GOFFEE, расширившей операции против технологических компаний в РФ и РБ. Среди новых TTPs: импланты фреймворка Mythic, работающие в Linux-контейнерах, эксфильтрация данных через HTTP-заголовки User-Agent (!), и закрепление на хостах через редактирование исходного кода легитимных приложений (!!).

🔵Шпионская APT и операторы шифровальщика Gunra эксплуатировали один и тот же 0day в южнокорейском ПО для финансовой безопасности, атакуя организации из финансового сектора, здравоохранения и промышленности. Через атаки на водопой и целевой фишинг устанавливались бэкдоры Struggle и Brandoor.

🟣Два новых семейства бэкдоров, OctLurk и SilkLurk, нацелены на госучреждения, правоохранительные органы, организации здравоохранения в Центральной Азии и на Ближнем Востоке. Оба используют DLL sideloading и расшифровывают нагрузки с уникальными для каждого хоста ключами, поэтому образцы не запускаются вне машины жертвы.

🟣Группа Toy Ghouls отказалась от LockBit и Babuk в пользу GenieLocker — собственного шифровальщика со сборками для Windows, Linux и ESXi, применявшегося против российских компаний из промышленности, строительства, финансового сектора, розницы и ИТ.

🔵Разбор атаки APT SilverFox, слухи о смерти которой оказались преувеличены. Она развернула ВПО ValleyRAT в японской промышленной компании. В атаке применялись аж три уязвимых драйвера ядра для отключения EDR, а нагрузки целиком хранились в реестре.

🟣Нашлось интересное (косвенное) свидетельство связи загадочного ВПО Angry Spark, о котором мы писали в апреле, с вспомогательной инфраструктурой «Операции Триангуляция» (о которой мы тоже писали, но в 2023 году).

🔵Анализ новых инструментов APT Mirage Kitten, замеченных в кампаниях, направленных на аэрокосмическую отрасль, оборонку, финансовый сектор и телеком на Ближнем Востоке и в Африке. Группа сочетает бэкдор NightLedger, запускаемый через DLL hijacking, с двумя инструментами туннелирования WebSocket, которые выводят трафик через корпоративные прокси.

🔵Anthropic выступила в жанре #metoo и отчиталась о трёх случаях, когда её модели выходили из «изолированных» сред для кибериспытаний и компрометировали системы реальных организаций. Оказывается, «изоляция» сводилась к промпту, сообщавшему моделям, что у них нет доступа в Интернет.

🟣Разбор CoreRAT, нового троянца APT Core Werewolf.

🔵Цепочка уязвимостей в Azure Cosmos DB Gremlin API приводила к выполнению кода и раскрывала платформенные ключи подписи, с помощью которых можно было генерировать primary key для любой учётной записи Cosmos DB. 🤯

🟠Обзор Vanta Stealer — Python-инфостилера, похищающего браузерные учётные данные, cookies, платёжные данные, токены, скриншоты, снимки с веб-камеры и seed-фразы криптокошельков.

🔵CVE-2026-20316 — очередные статические учётные данные в Cisco Secure Firewall Management Center, эксплуатируется в реальных атаках.

#дайджест #APT @П2Т