41825
Руки-ножницы российского инфосека. Для связи - mschniperson@mailfence.com
Justin.sh сообщает о появлении конфиденциального документа, согласно которому Cellebrite, по всей видимости, обзавелась новой 0-day для взлома iPhone.
Сама Cellebrite называет этот функционал Advanced Unlocks (AU), который описывается «прорывной метод» предоставления доступа к AFU для iPhone 11-16 на iOS 26-26.4+, с обещанием расширения зоны покрытия.
При этом и не следует путать это с «услугами расширенной разблокировки», которые они рекламируют уже много лет. Сам слитый документ датирован мартом 2026 года, последнее обновление - 15 сентября. Примечательно, что в нём на том момент отсутствуют iPhone 17 и Air.
Кроме того, новый продукт Cellebrite анонсировала в недавнем пресс-релизе, который подтверждает, что AU - это абсолютно новое решение, которое должно было встать на вооружение израильской компании в 2026 году.
Если верить Cellebrite, то AU:
- Это «вектор AFU следующего поколения, более устойчивый к изменениям операционной системы Apple».
- Работает при включенной защите от кражи устройств, что ужесточает ограничения на использование USB-устройств.
- Реализуется специальным устройством с заявленной дальностью действия (!) около 8 метров.
Автор в своем исследовании описывает свои попытки разобраться в ситуации, чего ему в полной мере так и не удалось.
Вместе с тем, пришел к выводу, что новая 0-day представляет собой аппаратно-независимую цепочку Bluetooth-UWB и каким-то образом связана с менеджером подключений L2CAP.
При этом Cellebrite позиционировал AU как «более устойчивую к изменениям ОС Apple», однако модель 17 была указана в списке их общих возможностей Inseyets, но не в AU (вероятно, обновление iOS все же нивелировало возможность взлома).
В общем, автор отметил, что так или иначе Apple незаметно исправила неприятную уязвимость, распространявшуюся по беспроводной сети, в iOS 26.5, но не упомянула об этом в бюллетене безопасности. Отмечая, что усилия Apple по повышению уровня защиты приносят свои плоды.
Порты зарядки исторически были основным входом для инструментов криминалистического анализа, однако их снижающаяся эффективность, вероятно, вынуждает обращать внимание на менее привлекательные пути, как в случае с Bluetooth.
В частности, незадолго до публикации Calif на конференции Hexacon продемонстрировала серьезные возможности беспроводных эксплойтов. Так или иначе, будем посмотреть.
В продолжение по PHP2Shell хотелось бы отметить еще ряд важных моментов.
По данным Amazon, злоумышленники начали проверку серверов, затронутых двумя критическими уязвимостями в PHP, за четыре дня до выхода исправлений.
Первая эксплуатация PHP2Shell произошла 17 октября с анонимизированного IP, когда информация об уязвимостях еще не была опубликована.
Примерно за 12 часов до публичного раскрытия Amazon выявила несколько прототипов PHP2Shell на основе дополнительной анонимизированной инфраструктуры. Различия в полезных нагрузках и происхождении указывают на участие нескольких злоумышленников.
Как отмечает в Amazon, после снятия эмбарго и выпуска патча в течение нескольких часов появились дополнительные эксплойты, а сейчас PHP2Shell широко используется киберподпольем в реальных условиях.
В свою очередь, WatchTowr, как мы уже отмечали, также зафиксировала массовое использование уязвимостей вскоре после выпуска патчей, хотя ни один из распространяемых PoC не обеспечивал RCE.
По данным телеметрии Cloudflare, за 10 часов до публичного объявления фиксировались тысячи попыток взлома, за 45 минут после объявления их число подскочило до десятков тысяч, за 2 часа - до сотен тысяч, а сейчас - до миллионов.
Как сообщила ELLIO, первый запрос PHP2Shell, направленный на их датчики, был зафиксирован 21 октября 2026 года в 8:36 утра по UTC, менее чем через час после того, как Chainguard в одностороннем порядке нарушила эмбарго и опубликовала собранные образы, содержащие исправление.
Исследователи JFrog обнаружили, что на GitHub уже публикуются фейковые эксплойты и вредоносные ПО, нацеленные на PHP2Shell.
VulnCheck сообщает, что по меньшей мере с одного китайского IP была предпринята безуспешная попытка использовать уязвимость PHP2Shell для развертывания веб-оболочки.
Согласно данным VulnCheck, VirusTotal и Censys, по состоянию на 21 октября более 1 млн. PHP-серверов работали под управлением необновлённых версий ПО. А если точнее, то:
- Из 2,58 млн. доступных из интернета хостов, зарегистрированных 21 октября, примерно 1,58 млн. сообщали об идентифицируемых версиях PHP, а около 1,57 млн. не были обновлены. По состоянию на 22 октября Censys отследила почти 3 млн. доступных из интернета хостов PHP.
- В VulnCheck обнаружили более 2,6 млн. доступных из интернета хостов используют PHP, и почти все они уязвимы. По меньшей мере 1 млн. используют версии PHP, поддержка которых прекращена: более 700 000 - это PHP 3.x - 7.3, а почти 400 000 - PHP 7.4, 8.0 или 8.1.
- По данным VirusTotal, примерно 5,1 млн. IP используют PHP, но только 1,1 млн. из них указывают версию в HTTP-заголовке. Из них лишь около 272 000 используют поддерживаемую версию PHP, в то время как большинство (около 758 000) используют устаревшие версии (PHP 5.4–8.1).
По мнению исследователей Forescout и Expel, PHP2Shell имеет потенциал стать событием масштаба Log4Shell и уже примерно на 50% приблизился к нему.
Кстати, OpenAI, назвавшая эти недостатки «одной из самых серьезных проблем безопасности за последнее время», выпустила навык Codex для проверки уязвимости сайта или локального исполняемого файла PHP к PHP2Shell.
Солары препарировали HypeAgent, относя его к зловреду из эпохи, когда один троянец должен был уметь все.
Современный подход подразумевает, что вредоносные ПО создаются под конкретную задачу. Стилер крадет данные, загрузчик устанавливает следующий модуль, майнер добывает крипту, а программа удаленного доступа обеспечивает управление зараженным компьютером.
Если возможностей требуется больше, их обычно делят между несколькими компонентами, однако HypeAgent устроен иначе, напоминая трояны «старой школы», авторы которых стремились получить полный контроль над компьютером.
HypeAgent распространялся преимущественно через вредоносные почтовые вложения, чаще всего маскируя под письма про оплату и заказы на поставку. Прикрепленный к письму JavaScript является первым звеном цепочки.
Скрипт скрыто запускает PowerShell, после чего несколько промежуточных загрузчиков последовательно расшифровывают и передают друг другу следующие стадии.
Значительная часть этого процесса проходит в памяти - .NET-сборки загружаются без сохранения в виде обычных исполняемых файлов на диске. Конкретная реализация цепочки может различаться, но ее конечная задача скрытной доставки HypeAgent остается единой.
Одна из последних стадий маскируется под PNG-изображение. Файл имеет корректную структуру и нормально открывается в просмотрщиках, однако внутри текстового блока iTXt с названием Description скрывается зашифрованная полезная нагрузка.
Загрузчик извлекает данные из метаданных PNG, расшифровывает их и запускает полученный HypeAgent внутри процесса svchost.exe.
В исследованном семпле HypeAgent обнаружено 195 реализованных команд верхнего уровня. Некоторые команды содержат собственные меню с дополнительными операциями, поэтому общее количество доступных действий превышает две сотни.
Среди возможностей HypeAgent встречаются функции, которые сложно ожидать от современного вредоноса. Например, умеет открыть и закрыть лоток CD/DVD-привода, если такой привод вообще установлен.
Обычный вредоносный арсенал тоже присутствует: работа с файлами, процессами, службами и реестром, командная строка, веб-камера, запись звука, буфер обмена, криптоклипер, DLL-инъекция, автозапуск и планировщик задач.
HypeAgent реализует сразу несколько вариантов удаленного управления компьютером. Первый - обычная трансляция экрана с передачей движений мыши и нажатий клавиш (классическая схема любого RAT).
Второй - HVNC, то есть отдельный скрытый рабочий стол, которого не видит пользователь. Третий вариант - Hidden RDP. Его реализация интересна тем, что HypeAgent не влияет на системные termsrv.dll и umrdp.dll через свои обертки.
Необычно реализована и работа с сетью. HypeAgent способен поднять TCP-туннель, изменить файл hosts, очистить DNS-кеш и показать таблицу маршрутов.
Кроме того, может разорвать конкретное TCP-соединение по адресам и портам, не завершая использующий его процесс. Еще интереснее выглядит встроенный HTTPS-прокси с собственным локальным центром сертификации.
Для обычного RAT излишняя по этой части функциональность выглядит уже довольно экзотично, превращая HypeAgent из инструмента удаленного управления в средство вмешательства в веб-трафик зараженного компьютера.
Интересно устроена работа с украденными cookies. HypeAgent не просто собирает их из браузеров, а пытается валидировать сессии через настоящие сайты и API.
Кроме того, HypeAgent включает функционал, больше похожий на инструментарии системного администратора. Под капотом есть и лайнер, больше похожий на самостоятельный продукт, а также - отдельная опция, предназначенная для electron-кошельков.
В целом, более двухсот действий выглядят не случайно раздутым списком: они отражают сам подход разработчика. В этом смысле HypeAgent действительно напоминает зловреды старой закалки: получить компьютер целиком — и уже потом решить, что с ним делать.
Подробный технический обзор и IOCs - в отчете.
Исследователи Лаборатории Касперского сообщают о новой компании APT Lazarus, называя эту активность Операция FlashHole.
Обнаруженная в январе новая волна атак группы северокорейской группировки стала продолжением прошлогодней Операции SyncHole и также была направлена на цели в Южной Корее.
Злоумышленники использовали доработанную цепочку заражения, которая сочетала в себе уже известное и новое вредоносное ПО. Кроме того, использовали в ходе атаки очередную защитную программу, обязательную для установки в Южной Корее, применяя watering hole.
Примечательно, что в этой кампании группа работала с целями более тщательно: злоумышленники рассылали целевые фишинговые письма со ссылками на поддельные, но релевантные сайты - например, страницы с портфолио и резюме, подготовленные под каждую жертву.
Первые следы новой кампании появились в июле 2025 года. Вероятно, Lazarus начали подготовку к ней вскоре после завершения Операции SyncHole, которая продолжалась не менее четырех месяцев.
В ЛК выявили как минимум три организации в Южной Корее из числа жертв новой кампании. Они работают в сферах разработки ПО, строительства и производства оборудования проводной связи. По сравнению с Операцией SyncHole набор отраслей и, соответственно, круг изменился - расширился.
В общем, спустя более года после первого обнаружения SyncHole в ЛК выявили аналогичную подозрительную цепочку выполнения, но на этот раз злоумышленник злоупотреблял CrossWeb EX, а не Cross EX (оба приложения поддерживаются одним разработчиком и связаны с защитой финансовых операций).
Причем Lazarus эксплуатирует это ПО не впервые: в 2021 году применяла его для доставки загрузчика Racket, а также в 2022 и 2023 годах.
Пока остается неизвестным, как именно злоумышленники использовали CrossWeb EX, но установлено, что цепочка атаки в итоге ведет к выполнению вредоносного ПО в памяти.
При этом создаваемый процесс выполнялся с высоким уровнем целостности. Родительский процесс INISAFECrossWebEXSvc.exe относится к комплекту установки INISAFE CrossWeb EX V3 версии 3.4.1.2, которая была выпущена в 2023 году после выхода бюллетеня KrCERT.
Как уже отмечалось в отчете по SyncHole, данная схема полностью соответствует давней стратегии APT, которую она применяет в Южной Корее на протяжении многих лет.
Поскольку CrossWeb EX и подобное ПО обязательно для пользователей в Южной Корее и обычно работает в фоновом режиме для взаимодействия с браузером, группа использует его в качестве ключевого вектора атаки.
В 2025 году на симпозиуме USENIX Security было представлено исследование уязвимостей обязательного в Южной Корее ПО для обеспечения безопасности, непреднамеренно создающих обширную поверхность атаки.
В июле 2026 года корейское правительство и ряд местных поставщиков решений для ИБ также опубликовали совместный бюллетень, в котором описаны типичные техники атак Lazarus, в том числе эксплуатация ПО, предназначенного для защиты финансовых операций.
Вместе с тем, несмотря на то что информация в бюллетене пересекается с результатами отчетов по Операциям FlashHole и SyncHole и подробный отчет AhnLab (под названием Operation Double Barrel о недавней активности Lazarus), исследователям Лаборатории Касперского удалось провести более точную атрибуцию на основе используемых группой TTPs.
Новое исследование показывает, что Lazarus от кампании к кампании дорабатывает свой арсенал и в итоге применяет усовершенствованную цепочку заражения на их основе.
Группа по-прежнему использует улучшенную версию LPEClient для профилирования жертв и доставки вредоносной нагрузки. При этом перешла на более защищенную постквантовую криптографию.
Как и ожидалось, целевые атаки на Южную Корею продолжатся, при этом не предполагалось, что одновременно будут вестись сразу несколько кампаний, каждая из которых будет использовать свое ПО и инструменты.
Примечательно, что кластер COPPERHEDGE, судя по всему, занимается монетизацией атак, тогда как Операция FlashHole нацелена на шпионаж.
Подробный технический разбор цепочки атак и инструментария - в отчете.
В начале этого месяца таинственный злоумышленник смог взломать более 330 серверов Tor, провернув массовую кампанию по перехвату трафика пользователей.
В частности, были скомпрометированы ретрансляторы Tor, после чего заражены вредоносным ПО Ebury Linux, что превратило их в выходные ретрансляторы, где злоумышленник смог перехватывать SSH-соединения и понижать уровень шифрования почтовых соединений для кражи незашифрованного трафика.
Хакерская атака оставалась незамеченной в течение трех дней, со 2 по 5 октября, пока ее не обнаружил швейцарский инженер, который сообщил об этом команде безопасности Tor.
Администрация Tor уведомила операторов ретрансляторов о продолжающихся взломах. По результатам прохождение любого трафика Tor удалось заблокировать путем как отключения взломанных серверов, так и добавиления их в черный список.
Как отмечают специалисты, наблюдаемый инцидент стал одним из крупнейших в сфере безопасности в истории сети Tor, затронув более чем 10% выходных ретрансляторов.
Некоторые загрузки плагина Rank Math PRO для WordPress с официального сайта разработчика содержали вредоносное ПО, которое на прошлой неделе способствовало распространению скрытых бэкдоров в рамках атаки на цепочку поставок.
Rank Math PRO - представляет собой это плагин для WordPress, предназначенный для SEO-оптимизации, который используется более чем на 4 млн. сайтах.
По данным разработчика, ограниченное число пользователей, загрузивших версию 3.0.123 в период с 15 октября 20:02 UTC по 16 октября 07:12 UTC, получили взломанные версии, поставив под угрозу безопасность своих сайтов.
В Rank Math смогли выявить в затронутых файлах плагина вредоносное ПО, незамедлительно их удалили и выпустили чистую версию v3.0.124.
Пользователям, установившим и активировавшим троянизированную версию в течение этих 11 часов, следует считать свои сайты скомпрометированными и следовать процедурам очистки, описанным в рекомендациях поставщика.
В уведомлении поставщика подчеркивается компрометация лишь PRO-версии, при этом бесплатная версия Rank Math SEO от WordPress осталась незатронутой.
Компания отметила, что вредоносная ПО устанавливает постоянный доступ, взаимодействует с rank1cdn[.]com и воссоздает скрытые бэкдоры при посещении зараженного сайта.
Поставщик предупреждает, что пользователи, устанавливающие скомпрометированную версию Rank Math PRO, раскрывают учетные данные базы данных, ключи API и другие секретные данные, доступные веб-серверу.
В ходе исследования атаки на VirusTotal был обнаружен образец вредоносного ПО PHP под названием cache-preloader-fff033 (1).php, который, по всей видимости, связан с взломом Rank Math.
Хотя этот файл не упоминался в предупреждениях Rank Math или Wordfence, он содержит те же иIOCs, что и в предупреждении Rank Math: ключ обфускации XOR xmmqhn; запись в базе данных WordPress _np5pvf754c; маркер задания cron ms6v46, а также код для создания учетных записей администратора с использованием префикса имени пользователя wpsupport_ и адресов электронной почты @wp-mail.net.
Вредоносная ПО, по всей видимости, действует как скрипт первого этапа развертывания, создающий бэкдор wp-includes/class-wp-cache-util.php, упомянутый в рекомендациях Rank Math.
PHP-скрипт также позволяет выполнять команды, изменять базы данных WordPress и красть учетные данные AWS, Cloudflare, Google Cloud, Azure, ключи SSH и другую конфиденциальную информацию.
Хотя эти IOCs указывают на связь с тем же злоумышленником, что и атака Rank Math, пока сложно подтвердить, распространялась ли она через скомпрометированный плагин.
Администраторам при наличии подозрений на взлом следует восстановить файлы сайта и базу данных из чистой резервной копии, запустить сканирование и обновить все пароли, ключи и соли.
Для сайтов, не имеющих безопасной резервной копии, Rank Math рекомендует ручную очистку, отмечая, что деактивация или обновление плагина после взлома не устранит угрозу.
Для очистки необходимо удалить всю папку плагина и вредоносные записи в базе данных, прежде чем исследовать бэкдоры, левые учетные записи администратора, измененные файлы, запланированные задачи и возможные изменения вне WordPress.
Также рекомендуется заблокировать все исходящие соединения с доменом rank1cdn[.]com.
Пользователям, установившим, но так и не активировавшим плагин, следует удалить его, загрузить чистую версию 3.0.124, а затем просканировать свои сайты.
OpenCode уведомила некоторых пользователей о том, что ключи API, которые они использовали с внешними поставщиками, были скомпрометированы в результате утечки данных.
OpenCode - это независимый от модели агент ИИ для программирования, обеспечивающий взаимодействие с пользователем на естественном языке в части работы с кодом.
Проект позволяет подключать модели ИИ различных поставщиков к консоли OpenCode для оптимизации и автоматизации процесса разработки.
Инцидент привёл к несанкционированному списанию средств с API и приостановке проектов в Google Cloud. По словам разработчика проекта, утечка данных затронула 1,4% всех пользователей, при этом некоторые из них сообщили о списаниях на сумму более 1700 долл. за ночь.
В субботу OpenCode объявила о масштабной атаке с использованием алгоритмов дистилляции, затронувшей пользователей OpenCode Console из числа разработчиков, которые подключали внешних поставщиков, включая Anthropic, OpenAI и Google.
Дистилляция - это легитимный метод машинного обучения, который обучает более компактные модели ИИ, используя результаты работы более мощных.
Цель состоит в создании более дешевых и быстрых моделей, сохраняющих многие возможности своих более крупных аналогов. Однако метод легко превращается в атаку, когда переходит к масштабному обучению с использованием нелегетимных запросов.
По данным OpenCode, злоумышленники атаковали системы компании как минимум 48 часов, используя агентов ИИ. При этом первичное вмешательство OpenCode во вредоносную активность было заблокировано: задействованные модели ИИ начинали отклонять запросы из-за встроенных средств защиты.
Ситуацию удалось стабилизировать после того, как OpenCode подключила модель кибербезопасности Daybreak AI от OpenAI для защиты, разрешение на использование которой было получено в субботу.
Согласно электронным уведомлениям, поступившим жертвам инцидента, самое раннее возможное раскрытие ключей пользователей произошло 17 октября 2026 года в 00:30 UTC, и, по всей видимости, никаких данных раскрыто не было.
В OpenCode также заявили, что работают с Google, OpenAI и Anthropic над разрешением инцидента, а пока не могут предоставить более подробную информацию.
По сообщениям пользователей, после утечки закрытых ключей были произведены мошеннические списания средств в размере от нескольких сотен долл. до 1700 долл.
В свою очередь, OpenCode по результатам расследования обещает пострадавшим пользователям возместить все убытки.
Китайская APT с августа нацелилась на уязвимость BeyondTrust в качестве 0-day для получения первоначального доступа в рамках своих шпионских кампаний.
Речь идет о CVE-2026-102764 (CVSS 9,3), которая связана с некорректной проверкой происхождения сообщений, позволяя злоумышленникам выполнять файловые операции на устройствах удаленной поддержки (RS).
По данным BeyondTrust, проблема затрагивает все версии RS до 26.2.3 включительно. Исправления ошибки включены в патч BT26-05-RS для версий с 24.3.1 по 26.2.3. Пользователям версии старше 24.3.1 следует обновиться до более новой версии, а затем установить патч.
BeyondTrust выявила уязвимость 28 сентября, на следующий день после того, как стало известно о её использовании. Однако первоначальная эксплуатация произошла еще 29 августа.
Компания заявляет, что выпустила патч к 30 сентября, но не спешила с его тестированием и устранением дополнительных уязвимостей, прежде чем выпустить исправление 8 октября.
Как передают Mandiant и Google TIG, CVE-2026-102764 была использована в качестве 0-day Armory Castle, связанной с Китаем группировкой, также известной как UNC5221 и Warp Panda.
Armory Castle специализируется на долгосрочным сбором развединформации и известна своими атаками на поставщиков SaaS-услуг, технологические компании, госструктуры, юридические фирмы и компании в сфере аутсорсинга бизнес-процессов.
Mandiant и GTIG фиксировали, как APT атаковала устройство BeyondTrust для получения первоначального доступа, развернула веб-оболочку Sawfly и туннелер Bareclaw для взаимодействия с устройством, повысила привилегии и перемещалась по скомпрометированной среде.
Sawfly, легковесная PHP-оболочка, обладающая возможностями двунаправленной зашифрованной связи между командами и контроллерами (C2), является основным плацдармом для злоумышленников в этой среде.
После развертывания веб-оболочки Armory Castle получила права root на хосте устройства, собрала учетные данные, получила беспарольные права root для учетной записи службы сайта и систематически удаляла системные журналы, журналы веб-сервера и приложений.
Затем злоумышленники переключились на приложение RS, используя скомпрометированные учетные данные администратора, изменили права доступа учетной записи, чтобы получить контроль над удаленными системами, и начали атаковать внутренние конечные точки.
Злоумышленник использовал встроенные в устройство инструменты поддержки для запроса и получения полного доступа к файловой системе.
Он применил встроенную службу передачи файлов BeyondTrust Remote Support для загрузки и извлечения конфиденциальных внутренних документов, полезных для сетевой разведки, включая инвентаризацию программного обеспечения, непосредственно с рабочего стола пользователя.
Кроме того, было замечено, что злоумышленник использовал собственный туннелер SOCKS5 Bareclaw, который поддерживает шифрование данных, перенаправление трафика на вышестоящий прокси-сервер, аутентификацию и другие функции.
Ранее GTIG наблюдала об использовании Armory Castle многочисленных уязвимостей в периферийных устройствах и применение обширного набора специализированных инструментов для достижения своих целей, начиная от пассивных бэкдоров и веб-оболочек и заканчивая троянизированными компонентами периферийных устройств.
Armory Castle начала свою деятельность еще в октябре 2023 и в ходе своих операций атаковала широкий круг стран и отраслей.
Ранее злоумышленник успешно препарировал нули в Citrix NetScaler (CVE-2023-4966, также известной как CitrixBleed), Ivanti Connect Secure (CVE-2023-46805, CVE-2024-21887 и CVE-2025-0282) и Dell RecoverPoint for Virtual Machines (CVE-2026-22769).
Киберподполье активно нацеливается на уязвимость внедрения команд в ОС межсетевого экрана SiteGuard Server Edition (WAF), позволяющую выполнять команды с правами root или SYSTEM на затронутых машинах.
Проблема отслеживается как CVE-2026-106931 и затрагивает функцию статистики в экземплярах WAF на основе хоста, которая включена по умолчанию.
SiteGuard - ведущий японский поставщик WAF-решений, который, по утверждению производителя, защищает более 1,5 млн. веб-сайтов. Согласно статистике WordPress, продукт активен на более чем 500 000 сайтах.
Согласно бюллетеню поставщика и предупреждению японского CERT, уязвимость CVE-2026-106931 имеет критическую степень опасности и в настоящее время используется злоумышленниками в реальных условиях. Однако сведения об обстоятельствах атак не разглашаются.
По данным производителя, CVE-2026-106931 подвержен: SiteGuard Server Edition для Apache httpd, Nginx и IIS (кроме FreeBSD) версий 2.20 и выше, до 8.00 Update 5; SiteGuard Server Edition для Apache httpd и Nginx на FreeBSD версий 2.20 и выше, до 7.00 Update 6.
Успешная эксплуатация уязвимости возможна в указанных выше версиях, если функция статистики активна. Как отмечает JPCERT/CC, версии IIS от 3.10 до 4.00 Update 4 включительно не затронуты .
Для установок, которые невозможно обновить, поставщик предлагает патч, заменяющий файлы, используемые в обработке статистики, в том числе для версий, поддержка которых прекращена.
SiteGuard предупреждает, что устранение последствий атаки потенциально может затереть следы, рекомендуя администраторам сохранять доказательства перед обновлением или установкой патчей.
Поставщик сообщил, что клиенты, имевшие прямые контакты со службой поддержки, были уведомлены об уязвимости ранее, 29 сентября.
Команда разработчиков ядра Linux устранила серьезную уязвимость, которая позволяла гостевым виртуальным машинам выходить за пределы модуля виртуализации KVM Linux и запускать код в базовой ОС хоста.
CVE-2026-99999 получила условное наименование PwnEscape и обусловлена тем, что сетевой стек Linux позволяет гостевой виртуальной машине изменять IP-пакеты после того, как ядро уже проверило их на безопасность. Это позволяет опытному злоумышленнику считывать память хоста и потенциально изменять её для выполнения кода.
PwnEscape затрагивает KVM, работающий на архитектурах x86, что является наиболее распространенной конфигурацией в большинстве облачных сред общего пользования.
Уязвимость имеет очень широкий радиус воздействия, поскольку KVM повсеместно используется для работы большинства современных технологий виртуальных машин и песочниц.
Она затрагивает все: от облачных сред до конвейеров CI/CD, инструментов анализа вредоносного ПО, серверов искусственного интеллекта и многого другого.
С начала этого года были обнаружены и другие уязвимости KVM, такие как ITscape, Januscape и Zapscape, но PwnEscape считается более опасной, поскольку его легче использовать - так как она использует уязвимости сетевого стека, а не специфические и узкоспециализированные сценарии конфигурации виртуальных машин.
Уязвимость была обнаружена исследователем Pwn.ai Паулосом Йибело с помощью ИИ-инструментов для поиска уязвимостей.
Он начал работу над PwnEscape в августе, после того как платформа Vercel объявила о конкурс е среди хакеров с общим призовым фондом в 1 миллион долларов за эксплойты, позволяющие обойти ее облачную песочницу.
В итоге исследователь получил 50 000 долларов за отчет по PwnEscape, максимальное вознаграждение в рамках конкурса хакеров. Кроме того, его отчет также был единственным, получившим статус «критический».
Citizen Lab сообщает об обнаружении целевых рекламных кампаний, в результате которых устройства сотрудников телеканала Al Jazeera были заражены шпионским ПО Candiru без необходимости каких-либо действий со стороны пользователей.
Исследователи называли эту технику AdFection, описывая ее как первое публичное техническое подтверждение существования шпионского ПО, распространяемого через целевую рекламу.
В ходе расследования им удалось выйти на израильскую рекламную компанию Discover-Tech, выступившей посредником между операторами spyware и основной рекламной инфраструктурой. Она позиционирует себя как поставщик рекламных технологий и управляет платформой для покупки рекламы MyDSP.
По меньшей мере 45 устройств в сети Al Jazeera стали объектом атак в 2024-2025 гг. Скомпрометированные устройства связывались с инфраструктурой Discover-Tech, а затем и с серверами проверки Candiru, и с С2.
Citizen Lab установила, что выделенная платформа Discover-Tech, Controlium, позволяет клиентам выбирать конкретных лиц для профилирования или заражения, используя идентификаторы мобильной рекламы, идентификаторы cookie браузера и IP-адреса.
Атака начинается с размещения Discover-Tech посредством аукциона рекламы на веб-сайте или в приложении, открытом на устройстве жертвы. При отображении реклама запрашивает JavaScript у сервера Discover-Tech.
Этот сервер возвращает код, основанный на идентификаторах посетителя и его предполагаемой важности, направляя выбранные устройства к инфраструктуре spyware. Взаимодействие с рекламой не требуется, и некоторые объявления могут отображаться в фоновом режиме.
Такая выборочная доставка помогает скрыть вредоносную активность от рекламных сканеров безопасности. Большинство посетителей не получают дополнительный JavaScript, в то время как выбранные цели могут подвергнуться следующему этапу атаки.
В Al Jazeera обнаружили на взломанном устройстве DLL-файл Windows, содержащий жестко закодированные адреса командной строки. Citizen Lab с высокой степенью уверенности отнесла его к Candiru, основываясь на характеристиках инфраструктуры и сходстве со шпионским ПО, обнаруженным в 2021, включая механизм обеспечения постоянного присутствия и обфускацию строк.
Исследователи изучили почти четыре млрд. общедоступных записей о торгах за период с марта по июнь 2026 года. Платформа MyDSP подала приблизительно 3,77 млрд. заявок и, по всей видимости, выиграла почти 442 млн.аукционов.
Рекламные объявления, содержащие удаленные загрузчики скриптов Discover-Tech, появлялись в 75 373 приложениях для Android и iOS и на 120 768 веб-сайтах. В их число входили мессенджеры, сервисы погоды, здравоохранения, знакомств и игр, а также крупные новостные издания.
Информация также появилась в сетях, связанных с НАТО, ООН, институтами ЕС, правительственными учреждениями, оборонными компаниями и операторами критической инфраструктуры.
Один лишь показ рекламы не гарантирует выявление шпионского ПО или заражения. Тем не менее, Citizen Lab предупреждает, что такой широкий охват создает возможности для составления профилей и потенциальной компрометации.
В ходе расследования Discover-Tech также была связана с другими поставщиками spyware - Bindecy и Intelos. А DARK CARTOGRAPHER, предположительно использовал ее инфраструктуру для сопоставления рекламных идентификаторов с телефонными номерами, используя уязвимости мобильных сетей более чем в 30 странах.
После расследования Google заблокировала доступ Discover-Tech к своим рекламным биржам и внедрила защиту Safe Browsing в отношении известных доменов, контролируемых злоумышленниками.
IAB Europe исключил компанию из своего реестра поставщиков, Beeswax - из своей платформы для закупок рекламы, Eskimi заблокировал ее учетные записи и домены, а Vungle приостановил доступ до завершения проверки.
В свою очередь, в Discover-Tech и Candiru/Integrity Labs никак не прокомментировали результаты расследования. Впрочем, все и так понятно.
И все же в кошельках Trezor тоже были найдены шпионские чипы, несмотря на все отрицающие этот факт заверения производителя.
Исследователь Джо Гранд утверждает, что обнаружил импланты в двух устройствах Trezor и сообщил об этом компании еще в августе.
Новые обстоятельства вскрылись на фоне скандала с аналогичными внедренными чипами в устройствах Ledger.
Тем не менее, Trezor опровергает все эти сообщения, но вместе с тем заявляет о сокращении числа реселлеров, начиная со следующего года.
Связанная с кражей учетных данных кампания GhostAction резко активизировалась, охватив более 30 000 хранилищ данных у 3000 пользователей и организаций. Согласно телеметрии GitGuardian, всплеск активности наблюдался 8 и 9 октября 2026 года.
Это произошло в результате взлома учетных записей GitHub примерно 1900 пользователей, после чего была предпринята попытка извлечь 3174 секрета из CI общедоступных репозиториев.
GhostAction - это название кампании по атаке на цепочку поставок, нацеленной на инфраструктуру разработчиков на GitHub. Впервые была обнаружена в сентябре 2025 года.
Злоумышленники взламывают легитимные учетные записи разработчиков, дабы внедрить вредоносные рабочие процессы автоматизации GitHub Actions в репозитории ПО.
В частности, они получают доступ на запись в репозитории, используя украденные персональные токены доступа (PAT) или учетные данные, полученные из журналов и дампов, собранных посредством стилеров.
Используя взломанную учетную запись админа, они распространяют вредоносный файл рабочего процесса, замаскированный под обманчивые имена, такие как Security Audit (security-audit.yml) или GitHub Actions Security (github_actions_security.yml).
Конечная цель - широкомасштабная кража секретов CI/CD, учетных данных облачных сервисов, токенов реестров пакетов (таких как npm, PyPI и DockerHub) и ключей API поставщиков услуг ИИ.
С 31 августа 2026 года наблюдается новая волна атак GhostAction, вредоносный процесс которых распространяется на сотни репозиториев. Новая серия, похоже, более экспериментальная и требует ручной обработки, нежели предыдущие, а полезная нагрузка также развивается со временем.
По сравнению с оригинальной полезной нагрузкой GhostAction, первая версия этой новой полезной нагрузки добавила функцию сканирования секретных данных в истории Git.
Как ранее сообщали Socket и StepSecurity, функция сканирования истории включает в себя регулярные выражения для обнаружения секретов, охватывающие идентификаторы ключей AWS, токены GitHub и GitLab, секреты, связанные с ИИ, а также ключи облачных API.
Вторая версия полезной нагрузки также захватывает примерно две строки контекста вокруг каждого идентификатора ключа AWS, чтобы сопоставить их с соответствующими секретными ключами доступа.
Третий и последний вариант полезной нагрузки включает поддержку получения секретного контекста во время сканирования истории Git.
Вредоносная ПО была развернута в несколько этапов: сначала она была запущена в отношении 160 ранее обнаруженных жертв, затем, через 20 минут, на 28 000 новых репозиториев в период с 8 по 9 октября. Новые атаки с использованием той же вредоносной ПО зафиксированы 10 и 12 октября.
Однако GitHub начал блокировать запуск вредоносного процесса начиная с 9 октября. Поэтому эти две последующие волны не смогли выкрасть никаких секретных данных.
Примечательно, что часть жертв этой новой волны ранее уже подвергалась атакам в сентябре 2025 года и августе 2026 года.
Исследователи из Шведского агентства оборонных исследований (FOI) разработали систему ИИ, которая задействует сигналы Wi-Fi для идентификации людей, скрытно переносящих огнестрельное оружие.
В перспективе, система, получившая название WiFireNet, потенциально может дополнить видеонаблюдение и металлодетекторы. Однако сейчас полученные результаты больше демонстрируют ее осуществимость, нежели готовность к развертыванию в сфере общественной безопасности.
Исследователи также представили WiFire - набор данных, который сопоставляет беспроводные измерения с видеозаписями с камер для обучения и оценки моделей обнаружения скрытого оружия.
Команда разработчиков рассматривает Wi-Fi-датчики как способ устранения недостатков традиционных методов досмотра.
Камеры не могут напрямую обнаружить оружие, спрятанное под одеждой, а металлодетекторы обычно требуют от людей прохождения через узкие контрольно-пропускные пункты и не могут различать разные виды металлических предметов.
WiFireNet анализирует информацию о состоянии канала (CSI) - измерения, описывающие, как беспроводной сигнал распространяется между передатчиками и приемниками. Его нейросеть обрабатывает амплитуду и фазу сигнала, преобразует эти измерения в изображение и прогнозирует местоположение людей и классы объектов в сцене.
Видеозаписи с камер предоставляют обучающие метки и помогают обучить беспроводную модель, но для прогнозирования обученной системой необходимы только измерения Wi-Fi.
В экспериментах использовалась модифицированная реализация IEEE 802.11a, работающая через GNU Radio на частоте 5,68 ГГц с полосой пропускания 20 МГц. Таким образом, данная конфигурация не подтверждает, что немодифицированный бытовой маршрутизатор может выполнять ту же задачу.
Участники перемещались в пределах восьми квадратных метров группами до двух человек или в пределах двенадцати квадратных метров группами до четырех человек. Максимум один человек нес спрятанный металлический пистолет.
В качестве других объектов для тестирования использовались пластиковый пистолет, металлическая бутылка с водой и мобильный телефон, что ставило перед моделью задачу отличить оружие от предметов, имеющих схожую форму или материальные свойства.
Стандартная конфигурация Wi-Fi обеспечила среднюю точность определения местоположения пистолетов на уровне 72,5% при мягком пороговом значении локализации, снижаясь до 53,8%, когда прогнозируемые местоположения должны были более точно совпадать с аннотированными местоположениями.
В рамках оцениваемых классов средняя точность составила 50,3% и 47,1% при соответствующих пороговых значениях. Это показатели эффективности обнаружения, а не просто процент правильно обследованных людей.
В ходе оценки отдельные образцы сигналов были разделены на обучающую и тестовую выборки.
Так что, WiFireNet не позволяет оценить производительность в совершенно незнакомых помещениях или в отдельно записанных сессиях, что является важным ограничением для оценки потенциала внедрения.
Новая вредоносная программа для Android под названием Hirudo крадет учетные данные банковских счетов, заменяя легитимные банковские приложения модифицированными версиями, которые отключают все проверки безопасности.
Исследователи выявили вредоносные копии восьми банковских приложений, которые используют механизм перехвата для обхода проверок цифровой подписи приложения, специальных возможностей и целостности Google Play, подменяя информацию о сертификатах или возвращая пустые списки.
Злоумышленники могут использовать Hirudo для кражи учетных данных, удаленного управления зараженными телефонами в режиме реального времени, сбора сообщений, создания скриншотов и записи звука.
Новинку заметили исследователи ThreatFabric, сообщившие, что вредоносная ПО Hirudo, как было замечено, выдавала себя за семь индонезийских банков, но также нацелена на финансовые организации в Китае, Индии, Мексике, Марокко и Таиланде.
Вредоносное ПО обычно распространяется через приложения для покупок (Shopora), контента для взрослых (1V1 X) или коротких сериалов (ZoyaTV, KoiShort), которые выглядят легитимными и реализуют заявленную функциональность.
Исследователи полагают, что эти приложения действуют как загрузчики вредоносного ПО для Hirudo, отображая поддельное уведомление об «обновлении», которое приводит к запросам на предоставление разрешений, в том числе для служб специальных возможностей.
После установки Hirudo запускает деинсталлятор настоящего банковского приложения, загружает модифицированную копию и использует разрешение на доступ к специальным возможностям для его установки.
ThreatFabric объясняет, что это деликатный и достаточно рискованный процесс для вредоносной ПО, поскольку жертва может прервать его в двух точках.
Вредоносная копия банковского приложения при этом сохраняет почти весь код оригинального приложения, но загружает механизм перехвата атак, построенный на основе открытых фреймворков YAHFA и Dobby.
При запуске модифицированное приложение выполняет реализует ряд мер по обходу защиты.
В частности, при необходимости подменяет подлинный сертификат подписи, скрывает включенные службы спецвозможностей, снимает защиту создания скриншотов, разрешая удаленный просмотр и запись, а также подменяет сертификаты подтверждения ключей и передаает запросы на проверку целостности воспроизведения через контролируемый сервер.
Однако, как поясняет ThreatFabric, у этих методов обхода есть определенные ограничения.
После активации на устройстве Hirudo может красть банковские пароли, PIN-коды платежей, секреты разблокировки устройства и SMS-сообщения, передавать изображение с экрана операторам и предоставлять доступ к обеим камерам.
Фейковые страницы, создаваемые вредоносной ПО, собирают PIN-коды платежей, а затем отображают сфабрикованный результат успешной оплаты, обманывая жертв и одновременно похищая данные.
Hirudo в настоящее время нацелен на индонезийские банковские приложения. Исследователям удалось идентифицировать тысячи учетных данных приложений в ходе анализа панели управления. Однако точное число жертв остается неизвестным.
Исследователи полагают, что банкам следует проверять целостность и подтверждать данные на стороне сервера, привязывать чеки к сессиям и защищенным действиям, а также сохранять механизмы контроля поведенческих рисков и рисков транзакций.
Исследователи Positive Technologies представили аналитику актуальных трендов теневого рынка киберугроз: ИИ, блокчейн и кризис инфраструктуры.
В новом исследовании Позитивы проанализировали, как ключевые технологические тренды, включая развитие ИИ и блокчейн-инфраструктуры, влияют на TTPs злоумышленников.
Отметим ключевые тренды злоумышленников, выделенных в отчете по итогам первой половины 2026 года:
- На теневых ресурсах ИИ по-прежнему используется как маркетинговый ход, однако все чаще появляются инструменты, в которых он применяется на практике. Примером служит AI hRDP, где ИИ-агент переводит текстовые команды оператора в прикладные действия по управлению устройством.
- Развитие ИИ приводит к двум параллельным угрозам: технология не только берется на вооружение злоумышленниками, но и сама становится мишенью кибератак. Так, оркестратор Scorpion автоматизирует поиск уязвимостей, а троян KAIDO RAT целенаправленно атакует рабочие среды разработчиков и перехватывает данные из ИИ-платформ вроде Claude.
- Наблюдается зарождение тренда среди банд вымогателей на использование проприетарных ИИ-модулей для глубокого анализа похищенных данных. Нейросети позволяют злоумышленникам автоматически находить наиболее чувствительные документы, оценивать репутационный ущерб и рассчитывать оптимальную сумму выкупа.
- Генеративный ИИ активно используется для написания вредоносного ПО, однако его использование не поддерживается теневым сообществом: процесс разработки теряет необходимую скрытность и становится уязвимым для обнаружения.
- Ботнеты начинают использовать блокчейн-инфраструктуру вместо традиционных DNS- и C2-механизмов, повышая таким образом устойчивость управления, что усложняет обнаружение и блокировку подобных архитектур.
- Злоумышленники все чаще атакуют не уязвимости в коде, а бизнес-логику и процессы принятия решений. Так, появились инструменты для автоматизации атак на голосовые меню и манипуляция репутацией вредоносных файлов на VirusTotal для обхода защитных фильтров.
- Проблемы сразу у нескольких крупных хостингов и VPN-провайдеров вызвали кризис доверия в теневой среде. Эти инциденты наглядно показали, что злоумышленники тоже уязвимы перед рисками цепочки поставок.
Продолжаем отслеживать последние сообщения по PHP2Shell.
20 октября команда разработчиков PHP выкатила уведомление о предстоящем экстренном релизе, который устраняет две критические уязвимости (CVE-2026-109618 и CVE-2026-109619, обе CVSS 9,2). Выпуск экстренных патчей состоялся 21 октября в 17:00 по МСК.
Две RCE без аутентификации были обнаружены исследователями Calif, OpenAI и Wiz, затрагивают все установки PHP, обрабатывающие веб-запросы, включая PHP-FPM, Apache с mod_php, php-cgi, FrankenPHP и LiteSpeed.
Как пояснила Calif, первоначальная уязвимость OOM в PHP была обнаружена еще в 2020 году, а затем повторно выявлена во время аудита PHP в 2024. Однако, в виду отсутствия доказательств эксплуатации, ее не исправляли.
Благодаря передовым моделям ИИ, уязвимость OOM удалось лучше проанализировать и в конечном итоге превратить в боевую RCE.
Согласно анализу Wiz, CVE-2026-109618 и CVE-2026-109619 объединяют четыре проблемы безопасности памяти в PHP, но не охватывают все варианты. Как отмечают специалисты, существуют как отслеживаемые, так и, вероятно, еще неотслеживаемые варианты.
Релиз пришлось ускорить после того, как информация об уязвимостях утекла в публик раньше запланированного снятия эмбарго. На момент публикации статьи CVE были зарезервированы, но не раскрыты.
После чего исследователи Watchtowr подтвердили существование уязвимостей. Параллельно с утечкой деталей, в сети появился эксплойт под неофициальным названием PHP2Shell.
В утекшем демо-видео эксплойт показан в действии на веб-серверах с WordPress, MediaWiki, phpBB, Magento, Joomla, Laravel, Symfony, Drupal и WHMCS, на которых работает почти 75-80% всех современных сайтов.
Как пояснили в Лаборатории Касперского со ссылкой на автора PoC, уязвимости связаны с обработкой типа multipart/form-data вместе с механизмом сессионного прогресса загрузки (session.upload_progress) в ядре PHP и относятся к классам Use-After-Free и повреждения памяти.
Это означает, что дефекты не могут быть закрыты средствами прикладного кода - исправление возможно только путем обновления PHP на сервере.
Атака работает без аутентификации: злоумышленник, имеющий сетевой доступ к PHP-приложению, может выполнить произвольный код от имени процесса PHP без необходимости проходить авторизацию. Рекомендации PHP от 21 октября, подтверждают эти данные.
Уязвимости затрагивают PHP версий 5, 6, 7 и 8. Поддерживаются ветки от 8.2 до 8.5. Более старые ветки, включая PHP 8.1, 8.0, 7.x и 5.x, достигли EoL, однако ввиду высокого уровня критичности уязвимостей для версий 7.4, 8.0 и 8.1 также были выпущены бэкпорт-патчи.
Как заявляет команда безопасности PHP, наибольший риск представляет mod_php, поскольку доказана уязвимость, при которой неаутентифицированный запрос может спровоцировать атаку до выполнения какого-либо кода приложения.
До выпуска и уже накануне обновлений Cloudflare подтвердила первые атаки, направленные на PHP2Shell, как и Watchtowr, отметившая, что никому из злоумышленников на тот момент не удалось добиться успеха.
Множественные попытки нацеливания на php2shell задетектила Hadrian. Также об эксплутациии уязвимостей с использованием публичного PoC сообщили в Patchstack и Vega.
Команда безопасности PHP помимо патчей поделилась мерами по смягчению последствий, однако они и не обеспечивают полной защиты от эксплуатации (подробная информация доступна в блоге разработчиков).
Злоумышленники взломали сайт TeamUpdraft, разработчика популярных плагинов для резервного копирования и безопасности WordPress, потенциально скомпрометировав ключи подключения UpdraftCentral, которые позволяют отправлять команды на подключенные сайты.
В выходные дни TeamUpdraft обнаружила несанкционированный доступ к своей инфраструктуре, полагая, что хакер получил доступ к базе данных клиентов. При этом один лишь UpdraftPlus плагин для резервного копирования и восстановления имеет более 4 млн. загрузок.
Поставщик полагает, что, по его мнению, злоумышленник получил доступ к базе данных, которая содержала информацию о клиентах, платежных реквизитах, истории заказов, а также более конфиденциальную информацию, включая хеши паролей, настройки 2Fa и ключи подключения для сервисов UpdraftCentral, UpdraftVault и UpdraftClone.
При этом в TeamUpdraft отмечают, что файлы плагина UpdraftPlus и возможности его загрузки остаются без изменений. Самостоятельно размещенные экземпляры UpdraftCentral также не затронуты.
Даже если резервные копии в собственном удаленном хранилище клиентов не затронуты, компания рекомендует обновлять учетные данные хранилища и повторно авторизовывать подключения, если они заходили на свой сайт через UpdraftCentral.
По оценкам, примерно 10% сайтов, использующих UpdraftPlus, имеют ключ UpdraftCentral или Migrator, что потенциально подвергает атаке около 400 000 сайтов.
По мнению Patchstack, злоумышленники начали использовать украденные ключи доступа для внедрения бэкдоров на сайты, подключенные к UpdraftCentral, и предполагают, что на самом деле кампания может быть гораздо более масштабной, нежели атака wp2shell.
Исследователи отследили начало атак 18 октября в 15:32 UTC, когда атакующие нацелились на RCE и добавление учетных записей с полными правами администратора.
Зафиксировано как минимум 99 вредоносных плагинов-бэкдоров с различными названиями, замаскированных под инструменты для обслуживания и оптимизации WordPress, например, Site Health Cache.
Patchstack описывает ранний вариант плагина-бэкдора, который оказался неработоспособен из-за ошибки в коде. В отчете Nethemba представлена более новая версия, позволяющая злоумышленникам создавать привилегированные учетные записи или входить в систему от имени существующих администраторов.
Исследователи Nethemba отметили, что три её собственных сайта на WordPress также стали плацдармом для вредоносных плагинов UpdraftCentral.
Злоумышленник проник на сервер через канал удаленного управления UpdraftCentral и подписал команды, используя действительные закрытые ключи панели управления.
Пользователям рекомендуется обновиться, после чего войти на каждый сайт WordPress и удалить ключи подключения UpdraftCentral.
Также следует проверить журналы и файлы на наличие IOCs от TeamUpdraft, Patchstack и Nethemba. В случае подтверждения взлома - восстановить сайты из чистых резервных копий, изменить пароль учетной записи TeamUpdraft, аннулировать все сессии и сбросить 2Fa.
Надвигается массовая эксплуатация критических уязвимостей PHP, получивших условное название PHP2Shell.
CVE-2026-109618 и CVE-2026-109619 потенциально могут привести к несанкционированному RCE, а подробности уже просочились в сеть, опередив запланированное скоординированное раскрытие информации и выпуск официальных исправлений.
По данным CERT-EU, исходя из их оценки CVSS, обе уязвимости могут быть использованы без аутентификации.
Во вторник PHP предупредила, что исправления критических проблем, обе с оценкой CVSS 9.2, запланированы на среду, 21 октября 2026 года, в 14:00 UTC (10:00 утра по восточному времени), призвая разработчиков подготовиться к беспромедлительному обновлению.
Исправления могут быть внедрены раньше, если будут опубликованы технические подробности об уязвимостях или появятся доказательства их эксплуатации в реальных условиях.
В сети эти уязвимости уже успели называть PHP2Shell, что предполагает возможность их использования злоумышленниками для получения доступа к командной оболочке на уязвимых серверах.
В описании CVE-2026-109618 и CVE-2026-109619 не указаны ни первопричина, ни затронутый компонент или путь атаки, но в одном из отчетов упоминается, что первая представляет собой ошибку типа «использования памяти после освобождения».
Кроме того, по сообщениям общественности, проблема затрагивает все версии PHP, начиная с PHP 5.
В WatchTowr утверждают, что ей удалось успешно воспроизвести уязвимость CVE-2026-109618, но в компании воздержались от предоставления дополнительной информации до выпуска исправлений.
Вместе с тем, WatchTowr и Huntress ответственно заявляют, что пока не наблюдали случаев эксплуатации ни одной из этих уязвимостей в реальных условиях.
Однако, по данным Sansec, массовая эксплуатация, скорее всего, начнётся в течение 15 минут !!! после выхода патча. Но будем, конечно, посмотреть.
Злоумышленники использовали подлинную, подписанную копию Siemens Software Center в сочетании со вредоносными DLL-файлами для заражения компьютеров под управлением Windows с помощью ClickFix.
Siemens Software Center обеспечивает загрузку, установку, активацию и обновление ПО, приобретенного клиентами, а также может использоваться для запуска бесплатных пробных версий.
CVE-2026-110936 обусловлена тем, что программа некорректно ограничивает места поиска DLL-файлов. Авторизованный локальный злоумышленник может внедрить вредоносный DLL в одну из этих папок и выполнить свой код с теми же привилегиями, что и Software Center.
Siemens сообщила об уязвимости 15 октября в уведомлении, присвоив ей оценку CVSS v4 8,4. Два дня спустя компания обновила его, поясняя что версия 4.0.9.8 устраняет проблему. Пользователи, у которых приложение уже установлено, получат исправление автоматически при следующем запуске.
В предупреждении не упоминалось об использовании уязвимостей в реальных условиях до понедельника, когда Siemens добавила ссылку на новое уведомление c описанием атаки.
Злоумышленники сопоставили легитимную копию программы Siemens, имеющую действительную цифровую подпись, с вредоносными DLL. При запуске программа загружала предоставленные злоумышленниками файлы из своей собственной папки.
Siemens отметила, что версия 3.5.8.7, самая новая на тот момент, не проверяла эти вспомогательные файлы перед их загрузкой, а ПО не подвергалось изменениям и что вредоносный пакет не распространялся через каналы дистрибуции.
Компания поделилась информацией об угрозах с силовиками и поставщиками решений EDR. В своем блоге компания привела также список IOCs, а также признаки возможного заражения компьютера.
Поскольку файл Siemens, использованный в атаках, является легитимным, компания рекомендует сосредоточиться на подозрительном поведении и папках, связанных с вредоносным ПО, вместо того чтобы полагаться на хеши файлов.
Siemens связала атаки с Romulus, многоплатформенной кампанией ClickFix. Атаки основаны на поддельных запросах, включая ложные проверки CAPTCHA, которые предписывают пользователям вставлять и выполнять вредоносные команды на своих устройствах.
На прошлой неделе Forescout представила исследование Romulus, платформы доставки ClickFix, способной распространять несколько различных вредоносных ПО.
Платформа работает на нескольких серверах, включая тот, который Siemens определила как сервер распространения вредоносного пакета, содержащего её ПО.
По данным Forescout, платформа распространяла вредоносное ПО LegionLoader, а также троянизированный установщик, который использовал легитимное приложение Stardock для установки DLL-файлов. Вместе с тем, исследователи не смогли установить, кто управляет Romulus.
В конце сентября Huntress также описывала тот же пакет на основе Stardock в отчете о кампании, в которой использовались вредоносные пользовательские GPT-файлы ChatGPT для заманивания пользователей на страницы ClickFix.
В ходе этих атак использовались подписанные программы от Canon, а позже от Stardock, для загрузки вредоносного кода, который в конечном итоге развертывал RAT.
Huntress отработала как минимум на 40 инцидентов, связанных с кампанией, заявляя, что, по ее мнению, подписанные программы от других поставщиков, вероятно, также используются не по назначению.
В отчетах Huntress и Forescout программное обеспечение Siemens не упоминается. Однако дублирующаяся инфраструктура и схожий подход к загрузке позволяют предположить, что софт Siemens мог быть добавлен в тот же набор инструментов.
Злоумышленники приступили к атакам на Plex2Shell, цепочку из четырех уязвимостей Plex Media Server, буквально спустя день после того, как стали доступны технические подробности и рабочий PoC.
CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656 позволяют в совокупности запускать произвольный код на открытом сервере без действительных учетных данных. Код запускается с теми же привилегиями, что и служба Plex.
27 июля Plex увесили о проблемах, компания подтвердила их и 4 августа назначила вознаграждение за обнаружение ошибки. 1 сентября Plex объявила о выпуске исправления, попросив пользователей обновиться.
Исследователь, обнаруживший Plex2Shell, представил описание и PoC 16 октября, а другой задетектил атаку, создав доступную из интернета ловушку Plex с уязвимой версией вредоносного ПО.
Причем до 17 октября эта ловушка в основном привлекала внимание с помощью разведывательных сканирований и общих попыток атак. По словам исследователя, злоумышленники использовали общедоступную уязвимость, хотя, возможно, и внесли изменения в код.
Атакующие установили майнер криптовалюты, созданный на платформе XMRig. Позже в тот же день на ловушке появилась вторая программа под названием myawesomeproxy.
Исследователь идентифицировал её как прокси-программу: она отображает уведомление о том, что любой, кто её запускает, соглашается на потенциальное использование своего интернет-трафика.
Возможно, Plex размещается на домашнем IP, и по всей видимости, злоумышленники с удовольствием использовали бы этот домашний адрес в качестве прокси для доступа к корпоративным VPN и электронной почте, как полагает исследователь.
Он предупредил, что опубликованные IOCs охватывают только лишь ту активность, которая наблюдалась на ханипоте.
В своем сентябрьском уведомлении кстати Plex рекомендовала всем владельцам серверов незамедлительно установить последнюю версию.
Хакеры взломали инфраструктуру AOMEI для внедрения бэкдоров в Windows, активировав вредоносные конфигурации всего на пять-десять минут, после чего восстановили легитимный контент.
Согласно отчетам Google GTIG, Mandiant и ManageEngine's Threat Analysis Lab (METAL) (1 и 2), кампания проводилась с апреля по июль 2026 года и затронула каналы доставки ПО, используемые AOMEI Backupper и AnyViewer.
METAL впервые обнаружила подозрительную активность 28 мая, когда AOMEI Backupper установила ПО для удаленного администрирования на компьютеры двух не связанных между собой клиентов в разных странах. Позже исследователи Mandiant подробно описали более масштабную кампанию, отслеживаемую как UNC7017.
AOMEI разрабатывает утилиты для Windows, предназначенные для резервного копирования данных, клонирования дисков и аварийного восстановления, в частности, Backupper, а также программное обеспечение для удаленного доступа к рабочему столу и поддержки AnyViewer.
В число выявленных жертв вошли организации, работающие в сфере IT, телекоммуникаций и высшего образования в 11 странах, включая США, Австралию, Индию, Бразилию и ряд европейских стран.
Злоумышленники внесли изменения в два конфигурационных файла, используемых процессами фонового обновления и уведомлений AOMEI.
Один из файлов, down_html.ini, указывал приложению, куда загрузить архив контента, и предоставлял ожидаемую контрольную сумму MD5. Другой файл, Notifycfg.ini, управлял поведением уведомлений, которые могли запускать локальное выполнение.
Ни одна из конфигураций не была криптографически аутентифицирована клиентом. Изменяя как место загрузки, так и соответствующую контрольную сумму, злоумышленники могли заставить вредоносный пакет пройти проверку целостности приложения.
METAL нашла неподписанный исполняемый файл upgrade-now.exe, встроенный в 232 рекламных файла. Локальная HTML-страница автоматически запускала его через встроенный браузер приложения, не требуя от пользователя никакого взаимодействия, кроме запуска самого приложения.
В этой цепочке использовалось не ПО с целью эксплуатации уязвимости, а злоупотребление существующим поведением приложения.
Исследователи подтвердили наличие периодов взлома, длившихся десять минут 28 мая, шесть минут 16 июля и пять минут 20 июля. После этого аутентичные конфигурации восстановливались, а это значит, что исследователи, проверявшие те же URL позже, обнаружили чистый контент.
Mandiant охарактеризовала инцидент как свой первый опыт столкновения с компрометацией цепочки поставок ПО с использованием столь коротких сроков поставки.
Вредоносный пакет распространял CROSSROAD, загрузчик, который загружал дополнительные компоненты, создавал постоянное присутствие в запланированных задачах и удалял себя.
Впоследствии бэкдор SHINYROAD использовал легитимный исполняемый файл Radmin с цифровой подписью для загрузки вредоносной DLL-библиотеки. Его возможности включали удаленное управление командной оболочкой и получение дополнительного кода во время выполнения.
METAL подтвердила установку подлинного Radmin Server, но не обнаружила никаких признаков его работы. 20 июля злоумышленники также настроили невидимое окно уведомлений для запроса удаленного ресурса WebDAV.
Это могло бы раскрыть данные аутентификации Windows NetNTLMv2 без запуска вредоносного ПО, что потенциально позволило бы осуществлять взлом паролей или атаки с использованием ретранслятора аутентификации.
METAL уведомила AOMEI 7 июня, а затем Mandiant - 17 июля. 29 июля AOMEI сообщила Mandiant о принятии мер по исправлению ситуации. При этом исследователи отмечают, что восстановление серверов не удаляет вредоносное ПО, уже установленное на компьютерах.
Использующим любой из затронутых продуктов, следует провести расследование активности в течение апреля-июля, включая обнаружение неожиданных исполняемых файлов в каталогах html AOMEI и запланированных задач с именами RadminComponentRuntime или NitroRuntime.
ConnectWise отключила доступ клиентов к своему сервису облачного резервного копирования (SkyKick Cloud Backup) после того, как хакеры получили доступ к учетным данным приложений и взломали учетные записи Microsoft 365.
Облачные решения ConnectWise обеспечивают резервное копирование и восстановление, помогая поставщикам MSP и ИТ-командам защищать данные клиентов, включая электронную почту и файлы, в облачных средах, в том числе Microsoft 365 и Google Workspace. Для резервного копирования Microsoft 365 служба использует разрешения, предоставленные через Microsoft Entra ID.
Как сообщает ConnectWise, на данный момент у нее нет никаких признаков того, что данные резервных копий партнеров Cloud Backup были скомпрометированы.
Существующий архив не затронут этим сбоем в работе сервиса и будет доступен после восстановления работы сервисов. Однако компания начала расследование и занимается устранением последствий.
Сообщения о вредоносной активности начали появляться в пятницу, когда администраторы обнаружили несанкционированный доступ к данным клиентов в учетных записях Microsoft 365 из-за потенциальной утечки данных через SkyKick/CW.
Позже в тот же день Huntress подтвердила опасения, заявляя о выявлении как минимум 162 скомпрометированных клиента в своей среде.
В своем уведомлении Microsoft также подтвердила наличие вредоносной активности в сервисе облачного резервного копирования ConnectWise, отмечая, что 15 октября были выявлены несанкционированные попытки аутентификации с определенного IP 144.172.64[.]128.
Как сообщают в Huntress, почти в 50 отслеживаемых ею клиентах субъекты служб для «приложений облачного управления ConnectWise (Exchange Online, Microsoft Teams и Microsoft Graph) назначали себе роли в каталоге, в основном, роль администратора Exchange.
В одном из помещений, где проживал злоумышленник, исследователи Huntress также заметили, что он обеспечил себе постоянное присутствие в системе, и операция заняла около пяти минут.
Microsoft также зафиксировала активность по сохранению учетной записи через бэкдор после успешной аутентификации субъекта службы, за которой последовали «разведка с использованием API Microsoft Graph и попытки добавить дополнительные учетные данные.
Microsoft Threat Intelligence охарактеризовала инцидент как активную атаку на цепочку поставок, предположив, что злоумышленник, вероятно, злоупотребил существующими правами доступа, включая Directory.ReadWrite.All.
ConnectWise рекомендует администраторам проверить учетные записи субъектов служб в Entra, отфильтровать данные по идентификатору приложения Cloud Backup и изучить неожиданные адреса источников.
Microsoft также рекомендует проверить изменения учетных данных приложений, предоставление прав OAuth и связанную с этим активность в Graph API.
Huntress советует администраторам отключить задействованные приложения ConnectWise, а также проверить учетные данные приложений на предмет несанкционированного добавления и пересмотреть другие интеграции с системами управления облаком.
Закрытие сервиса поставщиком не удаляет учетные данные, уже внедренные в учетные записи клиентов. Huntress утверждает, что администраторам следует проверить секреты и сертификаты во всех приложениях на предмет несанкционированных добавлений с 13 октября и удалить эти записи.
На текущий момент точное число жертв и масштабы кражи данных остаются неясными, как и метод, использованный злоумышленником для получения учетных данных поставщика.
Palo Alto Networks сообщает о расследовании APT-атаки на телекоммуникационную организацию, в ходе которой задействовались многочисленные уязвимости Fortinet.
Вторжение, приписываемое UNC5820 (CL-STA-0954), произошло в сентябре 2024 года и привело к длительному доступу к среде жертвы.
Первоначальный доступ был получен путем эксплуатации критической RCE в FortiManager, отслеживаемой как CVE-2024-47575 и исправленной в октябре 2024 года как 0-day.
Вскоре после выпуска обновлений Mandiant предупредила, что уязвимость, получившая название FortiJump, эксплуатировалась UNC5820 как минимум с июня 2024 года.
Согласно новому отчету Palo Alto Networks, в рамках того же вторжения UNC5820 также реализовала другую CVE-2025-61624, связанную с обходом пути.
Затрагивающая FortiOS, FortiPAM, FortiProxy и FortiSwitchManager ошибка была исправлена в апреле 2026 года. Она позволяет авторизованным злоумышленникам записывать или удалять произвольные файлы. На момент публикации Fortinet обозначила её как 0-day.
В пятницу CISA добавило ее в свой список известных эксплуатируемых уязвимостей (KEV).
По всей видимости, UNC5820 использовал 0-day для развертывания ранее неизвестного импланта FortiGate под названием PeerStitch, воспользовавшись обнаруженным путем обхода уязвимости.
Вредоносная ПО для архитектуры ARM64 размещается в оперативной памяти, избегает открытия портов прослушивания или инициирования исходящих сетевых соединений и обменивается данными через трафик, генерируемый легитимными процессами на устройстве.
В рамках атаки актор использовал FortiJump для доступа к центральному экземпляру FortiManager, зарегистрировал подконтрольное виртуальное устройство FortiGate и похитил архив конфигурации, содержащий подробную информацию о FortiManager, более чем 500 управляемых межсетевых экранах FortiGate и сети жертвы.
Кроме того, был использован механизм CVE-2025-61624 для получения root-доступа к операционной системе брандмауэра, после чего был загружен скрипт для запуска развертывания PeerStitch.
Написанный на C имплантат действует как «одноразовый инжектор для внесения изменений в память процесса», нацеленный на центральную систему и журналы трафика, а также на демоны службы IKE/IPsec VPN в FortiOS, создавая между ними скрытый, резидентный в памяти коммуникационный мост и обходя стандартные проверки безопасности FortiOS.
Злоумышленник также выдавал себя за FortiManager в коммуникациях между FortiGate и FortiManager (FGFM), отдавая команды с внешней инфраструктуры, и тщательно затер все следы своей активности.
По данным Palo Alto Networks, UNC5820 верифицировался либо путем завершения сессии подлинного FortiManager с использованием CVE-2024-26008, либо путем повторного использования украденных секретов и аутентификации в качестве легитимного FortiManager.
Обнаружение вредоносной ПО PeerStitch, в целом, демонстрирует растущую техническую зрелость зловредов для периферийных устройств.
Работая как одноразовый инжектор, избегая устойчивых артефактов на диске и создавая скрытый мост межпроцессного взаимодействия внутри памяти процесса, злоумышленники добились устойчивого присутствия, уклоняясь при этом от традиционного мониторинга.
Исследователи BI.ZONE раскрыли истинный шпионский профиль кластера Insolent Hyena.
Наблюдая за злоумышленниками, Бизоны обнаружили новый RAT NightStrike и впервые зафиксировали, что использование фреймворка Havoc, что в совокупности с другими артефактами и заставило их пересмотреть мотивацию группировки.
Ранее в BI.ZONE считали Insolent Hyena хактивистской группировкой, но отмечая при этом, что мотивация злоумышленников неоднозначна. Дальнейшее наблюдение за их активностью показало: характер деятельности в большей степени соответствует кибершпионажу.
В соответствии с классификацией группировок по мотивации: Hyenas («гиены») - кластеры с хактивистской направленностью, Wolves («волки») - злоумышленники, движимые финансовой выгодой, а Werewolves («оборотни») занимаются кибершпионажем.
Так что теперь Insolent можно смело относить к Werewolves и вот почему:
- За время мониторинга фактов использования вредоносного ПО (например, шифровальщиков или вайперов) для деструктивных действий не было выявлено.
- Значительную часть арсенала атакующих составляют трояны удаленного доступа (RAT): CapDoor, NightWire и NightStrike. Злоумышленники также используют импланты фреймворков постэксплуатации: AdaptixC2, Havoc и Cobalt Strike.
- Для получения первоначального доступа кластер применяет целевой фишинг, например атаки с использованием ClickFix. В некоторых случаях атакующие получают доступ к инфраструктуре от других кибершпионских кластеров, а затем разворачивают легитимное средство удаленного доступа NetSupport Manager.
- Insolent Hyena в основном атаковала госсектор, а также промышленные организации и НИИ, связанные с оборонно‑промышленным комплексом.
- Публичных каналов или заявлений об успешных кибероперациях, характерных для хактивистских группировок, не имеет.
По совокупности этих признаков отныне Бизоны переименовали из Insolent Hyena в Insolent Werewolf.
В августе 2026 года, анализируя активность Insolent Werewolf, исследователи обнаружили новый троян удаленного доступа, назвав его NightStrike, который, предположительно, разработал тот же автор, что и NightWire RAT. Ретроспективный анализ показал, что атакующие использовали его как минимум с июня этого же года.
Кроме того, злоумышленники использовали загрузчик Octowave Loader. Он разворачивал в скомпрометированных системах импланты фреймворков постэксплуатации AdaptixC2 и Havoc. Ранее последний в арсенале кластера не был замечен.
Разные фреймворки и собственное вредоносное ПО позволяют им подбирать инструментарий под конкретные условия атаки и снижать вероятность обнаружения за счет различий в возможностях и сигнатурах средств защиты.
Технический разбор нового инструментария и IOCs - в отчете.
Исследователи оценили влияние просочившихся в сеть Coruna и DarkSword на киберподполье, отмечая разработки китайских хакеров, которые трудятся над новой платформой для эксплуатации уязвимостей iOS, предназначенной для взлома последней версии iOS 26.
Фреймворки продолжают активно распространяться среди китайских подпольщиков, даже несмотря на то, что Apple устранила большинство уязвимостей, которые использовались стандартных версиях платформ.
В общем, благодаря возможностям Hunt.io исследователи смогли получить доступ к новому исходному коду более продвинутой платформы системы под названием Divine Seagull.
Инструмент Divine Seagull создан на базе Coruna и DarkSword и существует уже некоторое время, и, что интересно на первый взгляд, кажется, что разработчики вложили основной фокус в реализацию атак на iOS 26.x.
Но настоящим прорывом, похоже, Divine Seagull назвать сложно. Версия ПО датируется августом 2026 года. Мотивация разработчика ясна, но функциональность значительно отстаёт от того, чего удалось достичь «оригиналу» в своё время.
Судя по всему, это всё ещё масштабная опытная разработка, и в реальных условиях сегодня это вряд ли принесёт успех. Разработчик столкнулся с серьёзными препятствиями, которые ему не удалось преодолеть.
Как полагают исследователи, возможно, в ближайшем будущем появятся более совершенные продукты, но последние усилия Apple в части безопасности своей iOS и оборудования значительно затрудняют разработку чего-то действительно революционного для обычных разработчиков вредоносного ПО.
Coruna/Darksword изначально имели огромную популярность среди мошенников. Успех основан на том, что разработчики были высококвалифицированными профессионалами с глубоким пониманием аппаратного и программного обеспечения, на которое они нацеливались.
И тот факт, что они также работали на одного из крупнейших американских производителей кибероружия, безусловно, был большим плюсом. Это привнесло в «игру» совершенно иной уровень экспертизы и ресурсов.
В целом, исследователи констатируют, что в ближайшее время что-то подобное Coruna/Darksword в широком доступе киберподполья вряд ли стоит ожидать. Но будем посмотреть.
Загадочные атаки на холодильные установки в супермаркетах не закончились и охватили новые компании - Copeland и Dixell Controllers, затронув в общей сложности около 700 супермаркетов.
По данным французского национального агентства по кибербезопасности ANSSI, кибератака, нарушившая работу холодильного оборудования французских супермаркетов, повлияла также на оборудование Copeland и Dixell.
12 октября CERT-FR впервые предупредила о многочисленных случаях взлома контроллеров холодильных установок Danfoss AK-SM и AK-SC. Днем позже агентство обновило предупреждение, включив в него Copeland XWEB и Dixell XWEB.
Первоначально Copeland отказалась подтверждать инциденты, но впоследствии признала наличие уязвимости.
Этим летом Claroty подробно описала недостатки в процессоре Danfoss AK-SM 800A, а также 23 уязвимости в контроллере XWEB Pro Copeland. Та, в свою очередь, устранила их в обновлении прошивки.
До сих пор неясно, как злоумышленники получили доступ.
В предупреждении CERT-FR не указывается связь взлома с какой-либо конкретной уязвимостью, и ни Danfoss, ни французские власти не связывают атаку с ошибками, о которых сообщила Claroty.
Danfoss заявила, что большинство затронутых устройств - это более старые системы AK-SM 800 и AK-SC 355 с EoL.
Производитель прекратил поддержку AK-SM 800 в мае 2021 года, а AK-SC 355 был снят с производства в 2016. Также затронуты текущие контроллеры AK-SM 800A на устаревшей прошивке.
CERT-FR настоятельно призывает операторов затронутых контроллеров отключить их от интернета и восстановить удаленный доступ через VPN или защищенную сеть. Фильтрация подключений по IP допустима только в качестве экстренной меры.
Для устройств с EoL одной лишь перезагрузки недостаточно, поскольку устройство останется уязвимым и, вероятно, будет скомпрометировано снова, если останется незащищенным.
На текущий момент атаки подтвердили Carrefour, Coopérative U, E.Leclerc, Intermarché и Monoprix.
По словам министра финансов Ролана Лескюра, из 10 000 французских супермаркетов пострадали около 700. Ранее сообщалось о 300-350 пострадавших.
По данным Les Mousquetaires, владеющей сетью Intermarché, пострадало около 150 торговых точек. Холодильные установки работали при температуре 50 градусов в течение шести часов, и все продукты были выброшены. Carrefour сообщила, что пострадало 80 ее магазинов.
В Coopérative U заявили, что атаке подверглись 80 магазинов, но лишь некоторым пришлось выбросить продукцию. Два супермаркета в Эльзасе сообщили о совокупных убытках в 270 000 евро (300 000 долл.).
Парижская прокуратура заявила, что атака привела к также и к пожарам.
По данным Le Monde, злоумышленники увеличили время разморозки с одного часа до восьми, что задержало срабатывание сигнализации.
По данным Reuters, следователи, по всей видимости, озадачены отсутствием как заявлений о взятии на себя ответственности, так и требований выкупа.
Как сообщает Sekoia, кибератака также затронула магазины в Испании, Португалии, Польше, Германии и Бельгии, но не предоставила подробностей.
Национальный центр кибербезопасности Нидерландов не считает кибератаку на Ahold Delhaize связанной с атакой на холодильники.
Согласно телеметрии Censys, 11 октября было обнаружено почти 3000 подключенных к интернету панелей управления Danfoss StoreView, более 1800 из них - во Франции.
К 14 октября их число во Франции сократилось до 537, в то время как в других странах не изменилось.
Как заметили в Censys, исправленные и неисправленные версии исчезали примерно с одинаковой скоростью, что говорит о том, что операторы отключают контроллеры, а не обновляют их.
Кроме того, кибератака создает дилемму относительно о юридической ответственности.
Как сообщает Bloomberg, в Les Mousquetaires настаивают на том, что холодильные системы обслуживались Danfoss, и поэтому подавать жалобу в правоохранительные органы должен поставщик.
В общем, достаточно интересный кейс, продолжаем следить.
Ledger уведомила реселлеров и дистрибьюторов в Юго-Восточной Азии и Гонконге о необходимости приостановить продажи кошельков и снять продукцию с полок на время расследования случаев внедрения вредоносных имплантатов в аппаратные устройства.
Решение последовало после обнаружения модификации устройств, приобретенных у CryptoBilis, которые использовались для кражи сид-фраз доступа к криптоактивам посредством их отправки неавторизованной стороне через LTE-соединение.
После многочисленных сообщений о кражах крипты Ledger 9 октября начала расследование, подтвердив несанкционированное вмешательство в аппаратную часть ряда устройства, реализованных через CryptoBilis.
Вчера Donjon компании Ledger поделилась дополнительными подробностями об аппаратном импланте, обнаруженном в устройствах этого реселлера, в значительной степени подтвердив более ранние сообщения Марка Карпелеса и Tibane Labs.
Донжон сказал, что микроконтроллер импланта обнаруживает и декодирует 24-словную фразу восстановления для настройки и восстановления кошелька, а затем передает ее по LTE, используя выделенную eSIM.
Имплант представляет собой отдельный компонент, который не изменяет защищенный элемент или операционную систему Ledger, а также не вносит изменений в транзакции или подписи, что делает его необнаружимым для самодиагностики целостности Ledger.
По данным Ledger, все выявленные случаи кражи средств связаны с устройствами, проданными реселлером CryptoBilis из Юго-Восточной Азии, однако пользователи также сообщали о взломе устройств, приобретенных у других поставщиков из Азии и Европе.
Некоторые пользователи сообщили о покупке модифицированных кошельков у Metapod в аэропорту Сингапура, а также через MediaMarkt в Европе.
MediaMarkt, которая получает устройства Ledger от дистрибьютора Aqipa GmbH, после появления первых сообщений оперативно сняла продукт с продажи.
Ledger распорядилась о более широкой приостановке продаж, затрагивающей всех дистрибьюторов в Юго-Восточной Азии (Индонезия, Сингапур, Таиланд, Филиппины, Вьетнам, Малайзия) и Гонконге, до завершения расследования безопасности устройства.
Компания напомнила пользователям, что ее инфраструктура, системы, услуги и канал прямых продаж безопасны для использования.
Trezor, еще один крупный поставщик аппаратных кошельков для криптовалют, объявил о планах сократить свою сеть реселлеров для усиления контроля и предотвращения атак на цепочку поставок.
Компания заявила, что не обнаружила доказательств взлома своих устройств, но решила действовать оперативно в качестве меры предосторожности.
В письме к пострадавшим реселлерам компания сообщила, что их партнерские отношения прекратятся 1 января 2027 года, когда будет отозвано их разрешение на продажу устройств Trezor.
Palo Alto Networks выпустила обновления для 0-day PAN-OS RCE - CVE-2026-0322, которая использовалась в атаках на межсетевые экраны.
Уязвимость затрагивает интерфейс управления PAN-OS’a, позволяя авторизованным злоумышленникам с доступом к сети выполнять код от имени root на уязвимых устройствах.
В своем уведомлении по безопасности Palo Alto Networks подтвердила фиксацию ограниченного использования уязвимости в реальных атаках, направленных на интерфейс управления.
Уязвимость имеет оценку серьезности 8,6 и затрагивает межсетевые экраны серий PA и VM, а также виртуальные устройства Panorama и устройства серии M. Palo Alto заявляет, что Cloud NGFW и Prisma Access не затронуты.
Для использования уязвимости злоумышленникам необходимы существующие учетные данные и сетевой доступ к интерфейсу управления PAN-OS.
Поэтому Palo Alto Networks рекомендует ограничить доступ к интерфейсу управления только доверенными внутренними IP. Компания выпустила исправления для затронутых версий PAN-OS 10.2, 11.1, 11.2, 12.1 и 12.2, а исправление для PAN-OS 11.2.16 ожидается 15 октября.
Клиентам, использующим более старые, неподдерживаемые версии, необходимо обновиться до поддерживаемой. Известных способов обхода уязвимости нет, но клиенты с подпиской на Threat Prevention могут включить сигнатуры, обеспечивающие ограниченную защиту от известных моделей атак.
Проблема была обнаружена внутри компании Сураджем Сиддхарудхом, ведущим исследователем в области безопасности продуктов Palo Alto Networks.
Компания также раскрыла IP, которые использовались для эксплуатации уязвимости: 66.42.72[.]14, 208.83.239[.]114 и 149.248.47[.]234.
Однако в Palo Alto Networks пока не сообщают, кто стоит за атаками и к каким последствиям они приводили. CISA, тем не менее, уже добавила CVE-2026-0322 в свой каталог KEV.
Исследователи F6 продолжают изучать новую угрозу для Android-устройств, которая распространяется в России с июля 2026 года – RedWing RAT, который ранее был задокументирован в ходе отдельного исследования.
В новом отчете эксперты F6 акцентировали внимание на разборе второй разновидности трояна – RedWing Stealer. В отличие от первой версии, нацеленной прежде всего на удалённое управление скомпрометированным устройством, задача стилера – сбор информации с устройства.
Вредоносное ПО начали распространять через Telegram по модели MaaS как минимум с начала 2026-го. В июле F6 зафиксировала первую кампанию по распространению RedWing, нацеленную на пользователей в России.
Злоумышленники рекламировали новый троян под видом мобильного приложения для оповещений о воздушных атаках под названием RadarTrevog.
Впоследствии эксперты обнаружили более 800 образцов вредоносного ПО RedWing Stealer, которые распространялись в мае-сентябре 2026 года.
Среди Android-приложений, под которые злоумышленники маскировали вредоносное приложение – радары беспилотной опасности, карты АЗС для отслеживания топлива, программы для просмотра фото, сервисы видео 18+, VPN, различные игровые модификации, включая читы и моды популярных игр Minecraft, Roblox, Standoff 2, Brawl Stars, Oxide, Exile, Skyrim и Pubg. Такие читы и моды распространяли в том числе через Telegram-каналы игровой тематики.
Изучив RedWing Stealer и средства обработки СМС, которые предусмотрены в приложении, специалисты F6 Threat Intelligence пришли к выводу: разработчики вредоносного приложения нацелили своё оружие на пользователей сразу из нескольких стран.
Анализ указывает на фокусировку на целевую категорию из числа клиентуры банков и платежных сервисов России, Узбекистана и Казахстана, а также российских маркетплейсов и микрофинансовых организаций.
Функциональные возможности RedWing Stealer предусматривают кражу: SMS-сообщений с отдельным поиском в них; push-уведомлений; геолокаций; информацию об устройстве, подключенных SIM и истории звонков; списка контактов и установленных на устройство приложений.
Также RedWing Stealer имеет возможности: отправки USSD-запросов и SMS; открытия URL-ссылок; запуска reverse proxy; сокрытия/отображения иконки приложения; закрепления на зараженном устройстве; использования механизмов AntiVM и AntiDebug.
Как устроен RedWing Stealer с технической стороны и обзор его основных особенностей - в новом исследовании F6.