Russian OSINT

@russian_osint · Russian · active

Авторский канал: кибербезопасность, искусственный интеллект и IT. 🚀Лаборатория OSINT @russian_osint_lab 🤝Реклама @russian_osint_pr 📲Связь @russian_osint_bot 👉MAX (резерв) https://max.ru/russian_osint

Subscribers 48.5K Subscribers, last 30 days: 48.5K → 48.5K +0 24h
Reach per post (ERR) 16.7%8.1K avg views
Posting 4.4/day last 1 day ago
Reactions per 1K views 0.0 ⭐
  1. repost

    Обновление информации по инциденту и восстановлению работы сервисов Beget В ночь на 2 ноября 2026 года наша инфраструктура подверглась массированной кибератаке, в результате которой была нарушена работа ряда сервисов. Официальное уведомление об обстоятельствах непреодолимой силы Настоящим ООО «Бегет» уведомляет клиентов о возникновении обстоятельств, которые обладают признаками непреодолимой силы (форс-мажора) в соответствии с пунктом 3 статьи 401 Гражданского кодекса РФ и положениями действующих договоров. Масштабная атака на инфраструктуру компании и вызванные ею последствия временно препятствуют надлежащему исполнению части наших обязательств по предоставлению услуг. Настоящее сообщение является официальным уведомлением о возникновении указанных обстоятельств и их влиянии на исполнение договорных обязательств. Текущий статус восстановления На данный момент нам уже удалось восстановить работу выделенных серверов без нашего администрирования. Что происходит сейчас: - NS-серверы. Восстановление их работы — наш главный приоритет. Ориентировочный срок — ближайшие 4–5 часов. - Почтовая система. Параллельно ведём работы по восстановлению её работоспособности. - Резервные копии. На данный момент нам доступны файловые резервные копии подавляющего большинства ресурсов виртуального хостинга и облачной инфраструктуры. Мы продолжаем работу по восстановлению данных, однако из-за значительных объёмов этот процесс потребует длительного времени. Наши специалисты непрерывно работают над восстановлением инфраструктуры и делают всё возможное, чтобы как можно скорее вернуть сервисы к полноценной работе. При этом мы продолжаем оценивать масштаб последствий атаки, поэтому пока не можем назвать точные сроки полного восстановления всех сервисов. Мы понимаем, насколько критична доступность наших услуг для ваших проектов, и прикладываем все усилия для скорейшего восстановления работы. Будем информировать вас по мере поступления новых подтверждённых данных. Спасибо за терпение, понимание и поддержку.

  2. 🥷❗️Как программа-шифровальщик C3RB3R атакует сетевые хранилища Synology через старую уязвимость DSM Тайваньский производитель сетевых хранилищ (NAS) Synology предупредил клиентов о необходимости немедленно обновить устройства из-за всплеска атак программы-шифровальщика C3RB3R. Чтобы защитить данные и пресечь попытки злоумышленников взломать и зашифровать хранилища, компания призвала пользователей обновить программное обеспечение DiskStation Manager (DSM) до актуальной версии и включить автоматическое обновление, а также владельцам устройств рекомендуется срочно закрыть доступ к веб-интерфейсу управления из интернета. «Synology выявила злоумышленников, которые эксплуатируют уязвимость, исправленную в декабре 2024 года, для атак на устройства под управлением устаревших версий DSM. Эти атаки направлены на шифрование данных и вымогательство выкупа. Synology настоятельно призывает всех пользователей уязвимых версий немедленно обновить DSM для защиты своих систем. Synology также рекомендует включить автоматическое обновление, чтобы постоянно поддерживать DSM в актуальном состоянии» — говорится в уведомлении Synology. Хотя производитель пока не уточнил, какая именно уязвимость эксплуатируется в текущей кампании, в своём предупреждении он сослался на бюллетень безопасности от ноября 2024 года. В этом документе описаны патчи для уязвимостей, которые позволяют атакующим выполнять произвольный код (CVE-2024-10441), читать файлы (CVE-2024-50629) и записывать файлы (CVE-2024-10445) на необновлённых устройствах. Для защиты различных веток системы вендор предписывает установить следующие исправленные сборки: ▫️ Для ветки DSM 7.2.2 (критический уровень опасности) необходимо обновиться до версии 7.2.2-72806-1 или выше. ▫️ Для ветки DSM 7.2.1 (критический уровень опасности) требуется переход на версию 7.2.1-69057-6 или выше. ▫️ Для ветки DSM 7.2 (критический уровень опасности) нужно установить сборку 7.2-64570-4 или выше. ▫️ Для ветки DSM 7.1 (критический уровень опасности) необходимо обновление до версии 7.1.1-42962-7 или выше. ▫️ Для ветки DSM 6.2 (умеренный уровень опасности) предписан переход на версию 6.2.4-25556-8 или выше. Опубликованное на прошлой неделе предупреждение последовало за массовой волной жалоб от клиентов Synology, чьи данные оказались зашифрованы. Первые сообщения от пострадавших владельцев появились более двух недель назад. По словам пострадавших пользователей, программа-шифровальщик добавляет к зашифрованным файлам расширение .L0CK3D и оставляет записку с требованием выкупа read-me3.txt. В тексте записки злоумышленники заявляют, что любые попытки восстановить данные сторонними утилитами станут фатальными для файлов, и предлагают бесплатно расшифровать один любой файл для демонстрации работоспособности программы расшифрования «C3rb3r Decryptor», за покупку которой на портале в дарквебе от жертв требуют тысячи долларов. Применяемая в атаках на NAS-устройства Synology программа-вымогатель Cerber (также известная под названиями C3RB3R и CerberImposter) позаимствовала имя у известной группировки, работавшей по модели «программа-вымогатель как услуга» (RaaS) с 2016 года. До своего закрытия в конце 2019 года старая операция Cerber охватывала более 80% всех атак программ-вымогателей и четверть (25%) всех заражений вымогательским ПО на корпоративных конечных устройствах. Новое семейство C3RB3R впервые заметили в декабре 2021 года, после чего его разворачивали на серверах Atlassian Confluence и GitLab в ходе нескольких волн атак с эксплуатацией уязвимостей удалённого выполнения кода (CVE-2021-26084 и CVE-2021-22205) и обхода аутентификации (CVE-2023-22518). Сейчас организация по мониторингу интернет-угроз Shadowserver отслеживает более 380 000 доступных из интернета NAS-устройств Synology, однако в статистике не уточняется, сколько из них уже защищены от этих атак или выступают в роли ханипотов. ✋ @Russian_OSINT

  5. Официальный канал облачного провайдера Beget* в Telegram пишет, что у компании 😐произошёл крупный инцидент. ⚙️Задействованы все ресурсы и делается всё возможное, чтобы восстановить стабильность. Мы продолжаем детальный разбор ситуации. Проблема носит комплексный характер и затрагивает все уровни архитектуры. В данный момент инженеры выполняют ручную настройку инфраструктуры непосредственно в дата‑центрах. Для решения задачи задействованы все необходимые ресурсы — команды работают в усиленном режиме. Следующий апдейт опубликуем сразу после получения подтверждённой и точной информации. — пишет Beget Official. Beget* — российский хостинг-провайдер и облачная платформа, один из крупнейших в России. ✋ @Russian_OSINT

  6. ❗️ Как сообщает 👨‍🚒МЧС России в VK и МАКС, мобильное приложение МЧС России подверглось кибератаке, в результате чего злоумышленникам удалось осуществить рассылку фейковой информации населению. Сообщается, что сейчас ведутся работы по устранению уязвимости мобильного приложения и восстановлению его нормального функционирования. Пользователи жалуются на нецензурную брань в сообщении. ✋ @Russian_OSINT

  7. 🇷🇺 Сертификаты подписи российского программного кода начнут выдавать в 2027 году — Ведомости Минцифры планирует в 2027 г. начать выдавать сертификаты подписи программного кода разработчикам российского ПО, а в 2028 г. – корпоративные сертификаты безопасности. Сертификат позволит установить разработчика программы и проверить, не изменили ли ее после выпуска. Информация будет отображаться в установочном файле конкретной программы. Ведомости пишут, что Минцифры впервые официально получит полномочия НУЦа, закон допускает плату за часть сертификатов. ✋ @Russian_OSINT

  8. ⭕️ У китайской Kimi заработала оплата картами «Мир», но доступность пока нестабильна Китайская Moonshot AI открыла возможность оплачивать подписку Kimi российскими картами «Мир». В сети появились сообщения о том, что можно без сложностей оформить тариф Plus с российского сайта без КВН. Буквально 31 октября появились другие сообщения об исчезновении «Мира» из платёжной формы. При этом 1 ноября снова удалось при входе из России без КВН открыть платёжный шлюз с поддержкой российских карт. Возможно, доступность оплаты зависит от условий подключения и способа оформления подписки. 1️⃣ Планы подписки. В международной тарифной сетке Kimi Plus стоит $19, Pro — $39, Max — $99, а Ultra — $199 в месяц. При годовой оплате Plus обходится в $180 сразу, что соответствует $15 в месяц. Именно такой месячный эквивалент указан на странице годовых тарифов. 2️⃣ В рублях получается дороже курса ЦБ. При тестовой оплате тарифа Plus стоимостью $19 с карты списалось выше ₽1 600. 3️⃣ Программирование, исследования и документы расходуют общий запас. Уже тариф Plus включает Kimi Code, исследовательские функции и работу с офисными документами. Все возможности подписки расходуют общий месячный запас кредитов, поэтому активная работа с кодом уменьшает ресурс для исследований и презентаций, а неиспользованный остаток на следующий период не переносится. При этом для Kimi Code дополнительно действует отдельный лимит в скользящем пятичасовом окне. 4️⃣ Kimi K3.1 Pro дешевле Claude Opus 5.5 по базовым тарифам API. Использование Kimi API оплачивается отдельно от подписки. Базовые ставки ИИ-модели Kimi K3.1 Pro составляют $2 за 1 млн входных токенов и $10 за 1 млн выходных, что вдвое ниже обычных ставок Claude Opus 5.5 ($4 и $20). Ускоренная версия Kimi K3.1 Pro Highspeed стоит уже $4 и $20 соответственно, то есть по этим ставкам совпадает с Claude Opus 5.5. Для неё Moonshot AI заявляет в 2–3 раза более высокую скорость генерации по сравнению с обычной K3.1 Pro. 5️⃣ В общем рейтинге Claude впереди, но Kimi выигрывает отдельные тесты. В сводном индексе Artificial Analysis ИИ-модель Kimi K3.1 Pro (46 баллов) уступает Claude Opus 5.5 в конфигурации Max, Default Fallback (58 баллов). При этом в отдельных дисциплинах, включая сложный инженерный тест Terminal-Bench 4.0, результат Kimi K3.1 Pro выше (67% против 60%). Выбор зависит от задачи, а возможность оплаты российской картой добавляет сервису практическое преимущество. 6️⃣ Kimi может стать альтернативой Claude для части пользователей из РФ. На фоне жалоб владельцев российских паспортов на блокировки Claude — китайский сервис выглядит вполне интересным рабочим вариантом для рядовых задач. 7️⃣ Платная подписка Kimi не исключает обучение на переписке. Условия сервиса разрешают использовать запросы и ответы для обучения и улучшения ИИ-моделей. Отказ оформляется через обращение в поддержку и действует только на будущее. Удалять материалы, уже использованные в прошлых циклах обучения, компания при этом не обязуется. ✋ @Russian_OSINT

  11. 🈁 Невыпущенная ИИ-модель Claude создала root-эксплойт для 10-летней уязвимости ядра Linux на фоне отсутствия патчей в Ubuntu и RHEL Всего 53 минуты работы потребовалось сетевому эксплойту, созданному невыпущенной исследовательской ИИ-моделью Claude после начального промпта, чтобы удалённо взломать сервер на Linux и получить права суперпользователя (root) без учётных данных и действий со стороны жертвы. Найденная ИБ-исследователем Синьяном Гэ уязвимость повреждения памяти Use-After-Free в обработке параметров IPv4 при установке TCP-соединения получила в записи CVE-2026-98432 критическую оценку 9,8 балла по шкале CVSS 3.1, хотя сама ошибка скрывалась в коде ещё со времён релиза Linux 4.4. 💻В отчёте подразделения Frontier Red Team компании Anthropic описано, как ИИ-модель превратила это состояние гонки в двухэтапную цепочку удалённого выполнения кода через слушающий сокет Multipath TCP (MPTCP) в обход рандомизации адресного пространства ядра (KASLR). При этом неудачные попытки выиграть гонку не вызывают краха ядра, а лишь сбрасывают установку соединения, позволяя повторять атаку до полного успеха. «После начального промпта Claude написала эксплойт, который позволяет удалённому злоумышленнику отправлять пакеты на серверы Linux со слушающим сокетом Multipath TCP для выполнения произвольных команд с правами root без каких-либо учётных данных или взаимодействия с пользователем. [...] В нашем прототипе (PoC) требуется 48 минут для утечки указателя ядра и ещё пять минут для достижения выполнения команд оболочки» — говорится в отчёте подразделения Frontier Red Team компании Anthropic. Масштаб проблемы резко вырос из-за особенностей экосистемы Go. Нил Патель в уведомлении команды безопасности Go, позднее пересланном в список рассылки oss-security, напомнил, что начиная с релиза Go 1.24 стандартная библиотека включает MPTCP по умолчанию для слушающих сокетов в системах, где протокол поддерживается (сейчас только в Linux). Из-за этого веб-серверы, прокси и облачные сервисы на Go с доступными слушающими MPTCP-сокетами оказались под угрозой эксплуатации на хостах с уязвимым ядром, если использование протокола не было отключено явно в коде сокета, переменной окружения GODEBUG=multipathtcp=0 при запуске или директивой godebug multipathtcp=0 в файле go.mod при сборке. В основные ветки ядра исправление вошло ещё в середине октября, и Debian, а также оценившие уязвимость в 8,1 балла Oracle, SUSE и Amazon уже выпустили обновления для части поддерживаемых ядер. В Ubuntu на 30 октября 2026 года все актуальные выпуски от 16.04 LTS до 26.10 остаются без готовых патчей, а Red Hat, первоначально оценившая уязвимость в 5,9 балла со статусом отложенного исправления на 29 октября и впоследствии повысившая оценку до 🆙8,1 балла, 🫠пока не выпустила патчи для затронутых ядер RHEL 8, 9 и 10. 🎩 О подтверждённых атаках в 🦌дикой природе пока публично не сообщалось, но готовый прототип эксплойта от ИИ-модели для 10-летней ошибки ядра наглядно показывает, насколько быстро нейросети научились раскручивать сложные состояния гонки. Пока дистрибутивы собирают пакеты обновлений, администраторам серверов на Ubuntu и RHEL стоит проверить все MPTCP-сокеты командой ss -Mani, при отсутствии обновлений запретить создание новых таких сокетов через sysctl -w net.mptcp.enabled=0 в каждом сетевом пространстве имён (netns) с обязательным перезапуском служб, а в качестве возможной дополнительной временной меры рассмотреть предложенный в обсуждении разработчиков Go сброс на межсетевом экране входящих TCP-пакетов с параметрами в заголовке IPv4. ✋ @Russian_OSINT

  12. 🛡Аппаратный имплант для кражи криптовалюты теперь и в 🤌 Trezor Safe 5? Вслед за нашумевшей историей с Ledger теперь и команда безопасности Trezor 30 октября 2026 года выпустила предупреждение о возможном аппаратном импланте в криптовалютном кошельке Trezor Safe 5, признав сигнал заслуживающим доверия ещё до поступления устройства в лабораторию. Устройство купили в августе 2026 года на маркетплейсе Tokopedia у компании CryptoBilis, которая до октября выступала официальным реселлером вендора в Юго-Восточной Азии. Покупатель из Индонезии заметил разницу в весе гаджета, заранее перевёл активы в безопасное место и уведомил разработчиков по программе ответственного раскрытия уязвимостей. Согласно присланному отчёту, между основной платой и экраном установлена дополнительная печатная плата с сотовым модулем и антенной. При подаче питания она считывает выводимую на дисплей информацию, включая резервную копию кошелька (фразу восстановления), и передаёт данные по мобильной сети. Ранее, 9 октября 2026 года, расследование краж средств у клиентов CryptoBilis начала компания Ledger, позже подтвердившая физическую модификацию своих кошельков в ходе атаки на цепочку поставок. В тот же день Trezor прекратила партнёрство с реселлером, а по данным поста вендора в X, проверка четырёх ранее сданных клиентами устройств следов взлома не выявила вплоть до сигнала 28 октября. Совместно со службой экстренного реагирования 👁 SEAL 911 команда Trezor изучила фотографии, опросила владельца по видеосвязи и организовала доставку образца в лабораторию, объяснив выпуск предупреждения до завершения экспертизы. «Увиденное выглядит достаточно изощрённым, поэтому мы решили предупредить клиентов уже сейчас. Ожидание лабораторного подтверждения оставило бы покупателей CryptoBilis под угрозой на всё это время» — говорится в заявлении Trezor. О потере средств покупатели Trezor через CryptoBilis пока не сообщали, но из-за некастодиальной архитектуры вендор не видит балансы и предупреждает о риске волн фишинга. Всем, кто приобретал любую модель Trezor у этого продавца с марта 2026 года, необходимо срочно вывести средства на новый кошелёк с новой мнемонической фразой и запросить бесплатную замену устройства, не полагаясь на домашнее взвешивание или вскрытие корпуса. ✋ @Russian_OSINT

  13. 🖥В магазине расширений Cursor обнаружили вредоносную версию плагина 🤖Claude Code с SSH-бэкдором D официальном каталоге Cursor Extension Marketplace распространялась вредоносная сборка расширения Anthropic.claude-code версии 2.1.313, затронувшая до 5000 пользователей. Команда Cursor уточнила, что модифицированный пакет не создавался компанией Anthropic, признаков компрометации официального дистрибутива и других версий плагина не обнаружено, а проверка остальных расширений каталога не выявила посторонних изменений. Злоумышленники внедрили вредоносный код в файл extension.js внутри пакетов для macOS (darwin-arm64) и Windows (win32-x64). Скрипт отправлял данные о системе (имя пользователя, ОС, рабочие пути, почту из Git, имена переменных окружения и IP-адрес) на сервер hxxp://134[.]209[.]82[.]225:8099/beacon, добавлял открытый SSH-ключ с меткой svc-telemetry в authorized_keys, настраивал повторные попытки подключения обратного SSH-туннеля примерно каждые 60 секунд через механизмы закрепления (com.apple.sysmond.plist на macOS и задачу SysMon на Windows) и пытался включить локальную службу SSH. Однако на устройствах, где редактор не имел прав администратора, эта операция завершалась ошибкой. «На таких устройствах этот шаг завершается ошибкой, поэтому злоумышленник не смог бы войти в систему через туннель. Тем не менее расширение всё равно добавляет SSH-ключ атакующего, устанавливает механизмы закрепления в системе и отправляет сведения об узле злоумышленнику» — говорится в уведомлении команды Cursor. Разработчики удалили вредоносную версию, перезапустили маркетплейс с ротацией собственных ключей и совместно с провайдером отключили сервер атакующих. Пользователям рекомендовано обновиться до версии 2.1.314, проверить authorized_keys на наличие метки svc-telemetry, а при обнаружении следов компрометации изолировать хост, удалить автономные скрипты закрепления официальными утилитами (remediate-macos.sh или remediate-windows.ps1) и сменить доступные с затронутого устройства учётные данные с доверенного устройства. ✋ @Russian_OSINT

  14. ad

    Без права на ошибку: почему в промышленной кибербезопасности нет компромиссов Компрометация критической инфраструктуры грозит не просто утечкой данных, а остановкой производства и возможными техногенными авариями. В промышленной кибербезопасности не бывает «остаточного риска»: если систему можно взломать, риск является полным. Алексей Мартынцев, директор департамента защиты информации и ИТ-инфраструктуры «Норникеля», рассказал Илье Шаленкову, партнеру Kept, руководителю Группы по оказанию услуг в области кибербезопасности, как компания выстраивает защиту КИИ и АСУ ТП, адаптируется к новым реалиям и меняет культуру ИБ-безопасности среди сотрудников. Поговорили также о том: 🔸 как «Норникель» реализует переход на российские решения и помогает отечественным вендорам создавать зрелые ИБ-продукты; 🔸 где проходят «красные линии» аутсорсинга и какие функции ИБ нельзя передавать подрядчику; 🔸 из чего состоит реальный KPI службы кибербезопасности; 🔸 почему искусственный интеллект в кибербезе — не способ сэкономить, а «налог на выживание». ▶️ Смотрите интервью 🟣 Читайте полную версию

  15. edited

    🥷Новости по Binance: Криптобиржа Binance подтвердила, что речь идёт о крупном инциденте информационной безопасности, общий предварительный ущерб от которого оценивается примерно в $6,3 млрд. По данным первичного расследования, злоумышленник скомпрометировал ноутбук DevOps-инженера компании, получил доступ к сервисному контейнеру и провёл несанкционированные транзакции на вывод средств, однако признаков утечки закрытых ключей от кошельков не обнаружено. Совместно с блокчейн-партнёрами биржа уже заморозила в сети затронутые активы примерно на $3 млрд. По заверению компании, все убытки будут полностью покрыты из фонда SAFU и собственных средств Binance, поэтому активы пользователей находятся в безопасности. В качестве меры предосторожности площадка временно приостановила ввод и вывод средств на период проверок безопасности, отозвала авторизацию у затронутого адреса и привлекла к отслеживанию и возврату средств правоохранительные органы со специалистами по блокчейн-аналитике. 👮После завершения расследования и устранения последствий инцидента компания опубликует подробный технический отчёт и обновлённые данные о подтверждении резервов. 👆Chainalysis пишут о том, что якобы средства, украденные хакерами из КНДР в результате взлома Bitget в прошлом месяце, смешиваются со средствами, украденными из Binance, и с высокой долей уверенности связывают атаку на Binance с северокорейскими спецами. ZachXBT комментирует: Украденные средства из Binance на $6,3 млрд и взлома Bitget на $388 млн были смешаны на одном адресе 45 минут назад, после прибытия через THORChain. Это указывает на то, что, вероятно, один и тот же субъект стоит за обоими инцидентами. Взлом Bitget был приписан TraiderTraitor, связанному с КНДР, который имел пересечения с другими предыдущими взломами, такими как Kelp DAO. Большинство средств ($4,90 млрд из $6 млрд) были украдены менее чем за 15 минут — Arkham. ✋ @Russian_OSINT

  21. Older posts