Борьба с киберпреступностью | F6

Теневой сервис nulltrace заблокирован по обращению CERT F6. 🔍 Что такое nulltrace? Этот сервис предлагал услуги регистрации доменов в российских зонах без верификации — фактически обслуживал интересы киберпреступников, которые могли анонимно регистрировать сайты для скама, фишинга и др. ⛔️ Как удалось его заблокировать? CERT F6, круглосуточный центр реагирования на ИБ-инциденты, получил запрос на блокировку фишингового сайта, который был нацелен на пользователей иностранного банка и находился в доменной зоне .su. Аналитики выяснили: электронная почта заблокированного домена использовалась также для целой сети фальшивых сайтов. Дальнейшие поиски привели специалистов F6 на закрытый форум, где участники сервиса nulltrace предлагали услуги анонимной регистрации доменов без какой-либо верификации. На сайте объяснялось, как зарегистрировать домен за криптовалюту. По инициативе CERT F6 домен nulltrace[.]su передали регистратору для проверки. Пройти верификацию владелец ресурса не смог, после чего домен разделегировали. Вместе с ним стали недоступны и все сайты, домены которых были зарегистрированы через сервис злоумышленников в зонах .ru и .su. ➡️ Подробнее — в релизе.

⚡️ Type-driven development в Rust, часть 2/5: контракты между компонентами — от эксперта F6. Продолжаем серию о type-driven development в Rust. В первой части типы отвечали за данные: какие значения возможны и какие комбинации допустимы. Во второй разработчик MXDR F6 Никита Тимофеенко разбирает контракты между компонентами: как записать их в типах, чтобы нарушение контракта не компилировалось. Во втором материале — три механизма: ▪️ traits; ▪️ associated types; ▪️ const generics. Эксперт разобрал каждый по схеме: проблема ➡️ решение ➡️ хорошие практики ➡️ как это используют известные крейты или std библиотека. Отдельно — CGP (Context-Generic Programming): что делать, когда одному типу нужно несколько реализаций одного трейта, а правило когерентности разрешает одну. Примеры во всей серии — из биржевой торговли, но сами приёмы работают в любом домене со сложными состояниями и правилами их изменения. ➡️ ЧИТАТЬ НА HABR

Троя пала не потому, что её стены не выдержали. А потому, что коня с врагами внутри защитники сами внесли за периметр. Современная версия этой истории выглядит куда прозаичнее. Например, сотрудник использует один и тот же пароль для рабочего аккаунта и личного профиля на сайте. В случае взлома пароль оказывается в открытой базе, и атакующий заходит в корпоративную сеть под легитимной учетной записью. Ни одной уязвимости на периметре, ни одного нарушенного правила файрвола: все средства защиты видят просто обычного сотрудника. Большинство компаний считают внутренние угрозы не менее сложными для выявления, чем внешние атаки, и практика это подтверждает: заметить такую активность способна далеко не любая команда безопасности. Разбираемся, какие сценарии внутренних угроз встречаются чаще всего, что показывает внутренний пентест и как понять, что компании стоит его провести.

⚡️ 20+ признаков эквайрингового фрода в одном чек-листе. Специально для риск-менеджеров, комплаенс-специалистов и команд эквайринга и онбординга мы собрали главные признаки, которые выдают нелегитимного продавца до того, как он нанесет ущерб. Рассказываем в 3 блоках ⬇️ ▪️ что проверять при подключении продавца; ▪️ на что смотреть в его поведении дальше; ▪️ как понять, что формально независимые точки продаж управляются из единого центра. Внутри — всё для быстрой проверки продавца. А также продукты линейки F6 Fraud Protection, которые помогут закрывать все эти сигналы автоматически. ‼️ Помните: одно совпадение — повод для углубленной проверки, несколько — сигнал к блокировке. ➡️ ПОЛУЧИТЬ ЧЕК-ЛИСТ

Билет за 6 млн 🎙 Рассказываем, как мошенники наживаются на фанатах Канье Уэста в России. Аналитики Digital Risk Protection F6 зафиксировали рост числа мошеннических ресурсов, созданных под предлогом продажи билетов на концерты Канье Уэста в России. Что известно ⬇️ ▪️ С 17 августа зарегистрированы минимум 10 сайтов в доменных зонах .ru, .com, .site и .shop, которые маскируются под официальный сайт турне или предлагают приобрести билеты на выступление артиста. В доменах используются сочетания «ye», «yerussia», «ye-russia», «ye-tickets», «kanyewestrussia», «ye-russia2026». ▪️ Одни сайты при покупке перенаправляют на сайт нелегального казино. Другие — предлагают оплатить криптой (от $60 за место на верхних рядах до $2100 за VIP ложу). Некоторые сайты предлагают оплату по номеру телефона, а стоимость билетов у таких продавцов — от 28 тыс. до 6,2 млн руб. ‼️ Часть сайтов обещает билеты на концерты в Москве, хотя оба выступления запланированы в Санкт-Петербурге. ▪️ Также специалисты F6 обнаружили в Telegram как минимум 7 ботов, связанных с тематикой продажи билетов на концерты Канье Уэста. Все детали схемы и скриншоты страниц мошеннических ресурсов — на сайте F6.

🎥 Взлом в режиме видео: мошенники используют новый сценарий с имитацией доступа к госсервису. Аналитики Digital Risk Protection F6 зафиксировали новый сценарий мошенничества, который применяется для персонализированных атак в схеме с ложным взломом учетной записи госсервиса. Если раньше злоумышленники просили пользователей перейти по ссылке, а затем пытались убедить, что именно это действие привело к взлому, то теперь мошенники визуализировали этот обман. Как работает схема ⬇️ ▪️ Когда пользователь переходит по ссылке на фейковый сайт, он видит страницу, внешне похожую на окно входа на портал госсервиса. При этом ввести информацию в окно входа не получается. ▪️ Сразу после перехода на страницу в окне входа начинается обратный отсчет, после чего пользователь видит видеоимитацию «взлома» учетной записи. На экране появляется окно терминала, в котором последовательно возникают надписи «Выгрузка электронной подписи», «Выгрузка 2-НДФЛ», «Выгрузка паспортных данных», «Выгрузка СНИЛС», «Выгрузка кредитной истории», «Снятие самозапрета», а затем «Данные успешно выгружены». После этого картинка перестает обновляться. ▪️ Если приглядеться, то в сообщениях можно увидеть очевидные ошибки, которые указывают на грубую подделку. Например, в первых двух строчках — Misrosoft Windows (вместо Microsoft) и Misrosoft Sorroration (вместо Microsoft Corporation). Все дальнейшие строки, включая сообщения «Нестандартная активность», «Server IT-РФ», «Статус: нет МФА», могут показаться убедительными для пользователей начального уровня и вызвать у них иллюзию реальности происходящего. ❗️Способ распространения ссылок на ресурсы, задействованные в этой схеме, зафиксировать не удалось. Возможно, новый сценарий мошенников находился в процессе тестирования либо ссылки присылали в персональных сообщениях. Подробнее — на сайте F6.

😧 Как раскрыли группировку, укравшую $800 000? Рассказываем в новом эпизоде ИИ-сериала о киберпреступности. 2016 год. Полиция блокирует такси. Из вишневого «Логана» группа захвата достает пассажира — это один из участников Cron, группировки, которая распространяла Android-троян под видом популярных мобильных приложений или через смс-рассылку. За время работы Cron заразила более 1 млн устройств и похитила около $800 000. 🎥 В новой серии CyberStory от F6 и @SecLabNews рассказываем историю группы Cron.

F6 обнаружила новый сценарий схемы «Мамонт», направленный на автомобилистов. ▪️ Злоумышленники действуют от имени вымышленного бренда «Топливо24» и предлагают приобрести бензин, газ и дизельное топливо по ценам на 20-30% ниже обычных с доставкой по адресу или с правом заправки на АЗС. Так, бензин АИ-92 скамеры предлагали по 52,5 руб./литр, АИ-95 — по 55,9 руб., АИ-98 — по 59 руб., а дизельное топливо — по 58,5 руб. ▪️ Мошенник может направить пользователю ссылку на фальшивый сайт или выставить счет на оплату конкретного заказа. ▪️ Один из сайтов, который используется в этом сценарии, расположен в доменной зоне .shop и создан 19 августа 2026 года. ▪️ За период с 15 по 20 августа группа, использующая в том числе и этот сценарий, похитила у пользователей более 3,7 млн руб., средняя сумма списаний — 9847 руб.

F6 на OFFZONE 🔥 Уже завтра, в пятницу, слушаем выступления экспертов нашей команды! 20 и 21 августа в Москве проходит OFFZONE — международная конференция по практической кибербезопасности. И там будут все — безопасники, разработчики, инженеры, исследователи, преподаватели и студенты из разных стран. И конечно — команда F6! В центре внимания только технический контент, посвященный актуальным темам кибербеза. Сохраняйте расписание наших спикеров ⬇️ 1️⃣ «ИИ на стороне антифрода и в руках мошенников» Как мошенники используют LLM и как противостоять ИИ на стороне антифрода. Спикер: Дмитрий Ермаков, руководитель департамента защиты от мошенничества, F6 Время: 21 августа, 13:20 Место: AntiFraud Zone 2️⃣ История одного Web3-казино Все знают, что крипта — это скам. Но что делать, если нашел уязвимость в скаме? Спикер рассмотрит пример Web3‑ресерча и печальную историю одного казино. Спикер: Николай Микрюков, старший специалист по тестированию приложений и инфраструктуры (AppSec), F6 Время: 21 августа, 14:00 Место: Community track 3️⃣ Jump Lists: Your Trace, My Trap Jump Lists — артефакт, хорошо знакомый каждому DFIR‑специалисту. По нему восстанавливают хронологию действий пользователя, находят следы открытия файлов/каталогов и выявляют подозрительную активность. Но что если посмотреть на него с другой стороны — глазами offensive‑специалиста? Спикер: Владислав Азерский Заместитель руководителя лаборатории цифровой криминалистики и исследования вредоносного кода, F6 Время: 21 августа, 15:00 Место: Threat.Zone 4️⃣ По следам SiribClone SiribClone — киберпреступная группировка, атакующая главным образом российских военнослужащих. В рамках доклада будет рассказано об основных TTPs группы SiribClone, ее инфраструктуре и о пересечениях с другими группировками. Также спикеры представят еще неизданные в публичном пространстве данные о злоумышленниках и продемонстрируют, как удалось обнаружить группу глазами аналитика. Спикеры: Владислав Куган, старший аналитик отдела исследования кибератак департамента Threat Intelligence F6, и Елена Фурашова младший аналитик отдела исследования кибератак департамента Threat Intelligence F6 Время: 21 августа, 16:00 Место: Threat.Zone До встречи на OFFZONE 😎

Доходы пиратов впервые за долгое время выросли ⚡️ F6 подвела итоги I полугодия 2026-го по онлайн-пиратству в Рунете. Главное из отчета ⬇️ ▪️ Трафик пиратских ресурсов за год увеличился на 5,7%. ▪️ Их выручка последние годы постоянно снижалась, но за последние полгода выросла на 4,2% — с $16 млн до $17,3 млн. ▪️ Стоимость рекламы осталась практически на прежнем уровне. ▪️ Доля слитых прокатных релизов снизилась: с 52% до 38% год к году. ▪️ Эксперты Digital Risk Protection F6 считают, что основным драйвером пиратского спроса остается зарубежный контент, отсутствующий на легальных площадках. ‼️ Закрытие пиратских ресурсов не приводит к исчезновению их контента из сети. Злоумышленники регистрируют новые домены и создают «зеркала». ▪️ Пираты продолжают адаптироваться к мерам блокировки: например, некоторые открывают контент после 18:00 и в выходные дни (предположительно, чтобы обходить проверки регуляторов в рабочее время). ▪️ Среди новых элементов пиратской инфраструктуры — DVB Video. Это видеобалансер — хранилище и дистрибьютор контента. ▪️ Среди наиболее популярных схем пиратов — мимикрия, использование брендов легальных онлайн-кинотеатров. Также развивается пиратский фишинг — злоумышленники уводят пользователей на фишинговые страницы под предлогом бесплатного просмотра кинопремьер и крадут учетные записи. Все подробности исследования пиратского рынка — в отчете F6.

⚡️ Гендиректор F6 Валерий Баулин в беседе с РБК рассказал об отличиях новой компании F6 от F.A.C.C.T. и Group-IB, заметив, что F6 — это «не капремонт, а строительство нового здания». В интервью РБК он объяснил, зачем пришлось переписывать коды всех продуктов и для чего выходить на биржу во время, когда «рынок для многих выглядит странно». Компанию, которую мы хотели создать, нельзя было строить по чужим лекалам — это было принципиальным решением. Мы взяли лучшее из того, что было создано: технологии, патенты, экспертизу команды, — и на этом фундаменте построили принципиально новую компанию. Новые акционеры, новая юридическая структура, новый бренд, каждый продукт был переосмыслен и переработан под новые требования рынка и новую архитектуру. Это было дорого и сложно, но это было осознанное решение. ▪️ По словам Баулина, «все продукты F.A.C.C.T. были сожжены и переписаны». F6 переписала кодовую базу всех продуктов, которые были у F.A.C.C.T., получила новые лицензии и сертификаты, зарегистрировала решения в реестре отечественного программного обеспечения. ▪️ Валерий отметил, что старая кодовая база накопила архитектурные ограничения, которые мешали двигаться вперед. «Угрозы меняются очень быстро, нужны продукты, которые можно адаптировать так же быстро. Сделать это поверх старой архитектуры было невозможно», — пояснил глава F6. Единственное, что мы перенесли осознанно — это люди и экспертиза. Команда перешла в полном составе. Потому что бренду [F6] год, а нашей экспертизе по противодействию киберпреступности больше двадцати лет. Это то, что нельзя создать быстро и нельзя купить. ▪️ По информации Баулина, сейчас в F6 больше 550 человек, 75% из них — технические специалисты. Практически все клиенты продолжили работать с новой компанией. Если раньше компания работала преимущественно с финансовым сектором, ретейлом и FMCG (товары повседневного спроса и бытового потребления, — РБК), то 2025 год был посвящен занятию тех сегментов, где компания была мало представлена, — в промышленности и госсекторе. Начиная с 2022 года атаки на эти секторы увеличиваются примерно на 40% год к году. Сейчас у компании более 600 крупных клиентов: банки, ТЭК, ретейл, промышленность. ▪️ В портфеле F6 13 продуктов и шесть сервисных направлений с 45 самостоятельными услугами, более 50 патентов и более 100 заявок на патентование. Для R&D и разработки с применением искусственного интеллекта (ИИ) выделили отдельное юрлицо — «F6 Инновации». «В какой-то момент мы поняли: то, что получилось - это уже не F.A.C.C.T. с новым логотипом, это действительно другая компания», — отметил Баулин.

Ответственность за утечку персональных данных изменилась: и не только для компаний. Штрафы за такие инциденты теперь могут достигать 500 млн рублей, а с 2025 года к ответственности организации добавилась личная уголовная — для конкретных сотрудников и руководителей, чьи действия привели к утечке. При этом итоговое решение зависит не только от масштаба утечки, но и от того, что компания успела сделать заранее: какие меры защиты были внедрены и насколько это можно подтвердить документально. ➡️ Разбираемся, как теперь считают штрафы, что решают суды на практике и что стоит проверить заранее.

Утро начинается не с кофе, а с GOFFEE. F6 изучила новые техники APT-группировки. Специалисты Лаборатории цифровой криминалистики и исследования вредоносного кода F6 исследовали атаку кибершпионов на одну из российских компаний. Группировка GOFFEE (она же — Paper Werewolf) специализируется на проведении целевых атак на российские организации с целью шпионажа. Активность отслеживается с 2022 года. Атакуют госучреждения и организации в сферах ВПК, ИТ, логистики, СМИ, телекоммуникаций, строительства, энергетики, образования, промышленности, туризма, финансов. Среди особенностей группировки — фокус на долгосрочном присутствии в инфраструктуре жертв. В атаках GOFFEE используют инструменты собственной разработки, активно применяют техники обфускации, усложняющие обнаружение и анализ. При обнаружении противодействия и удалении бэкдоров GOFFEE загружают новые, которые не детектируются прежними методами. Используют различные техники маскировки: большинство служб, обеспечивающих запуск бэкдоров, мимикрируют под легитимные аналоги с других систем, а у самих файлов атакующие подменяют временные метки, опираясь на свойства других файлов в системе. ▪️ Атакующие уже давно контролировали множество устройств в сети компании. Они применили нераспространенную технику — подменили легитимные программы 7-Zip и Git на закрытом корпоративном хранилище и установочные ISO-образы Windows-систем в хранилищах ИТ-департамента на вредоносные модификации. ‼️ Выбор утилит для подмены предполагает компрометацию как широкого круга пользователей (7-Zip), так и команды разработчиков и ИТ-департамента (Git). Сотрудник самостоятельно загружал и запускал вредоносные файлы, а факт загрузки их из закрытого корпоративного источника сильно повышал доверие. ▪️ Злоумышленники модифицировали три версии установочных образов разных версий Windows. Как и при подмене ПО, атакующие могли выбирать тип устройств: серверы или рабочие станции. Так они сразу получали удаленный доступ к только что развернутому контроллеру домена или серверу резервных копий. ▪️ Группировка отличилась многообразием техник и инструментов. Например, сначала вредоносные файлы размещались через публичные сервисы временного хранения, затем появились собственные ресурсы атакующих, а позже скомпрометированные устройства локальной сети стали использоваться как C2-серверы. Детали исследования, анализ ВПО и индикаторы компрометации — в новом блоге F6.

🚀 Злоумышленники обещают заправить машину в обмен на данные банковской карты. 🔍 Впервые схему с ваучерами киберпреступники запустили в июне, после массового возникновения очередей на заправках. Тогда фейковые сайты были единичными, а обещания ограничивались 100 литрами топлива в одни руки. Теперь они повышают ставки: в некоторых случаях предлагают сразу 5000 литров бензина или солярки «на любой АЗС в России», а фальшивые сайты создают пачками. 👀 Аналитики F6 Digital Risk Protection обнаружили 10 фишинговых сайтов, на которых от имени четырех российских банков автомобилистам предлагают ваучеры на топливо в рамках «программы лояльности». Все поддельные ресурсы созданы в период с 13 по 27 июля 2026 года. Большая часть этих ресурсов использует домены в зоне .website, тогда как остальные зарегистрированы в доменной зоне .online. Фишинговые домены можно распознать по характерным ключевым словам: vaucher, service, promo, toplivo, pomosh и opros. Подробности читайте в релизе.