Russian OSINT

Telegram doesn't show this post on the web. Open it in Telegram to see it.

🖥Последствия ноябрьской кибератаки на инфраструктуру Beget В ночь с 1 на 2 ноября 2026 года злоумышленники скомпрометировали управляющий контур всей архитектуры российского провайдера Beget и запустили обнуляющие скрипты. Компания уведомила клиентов о возникновении обстоятельств с признаками непреодолимой силы (форс-мажора) по п. 3 ст. 401 ГК РФ, остановила списание оплаты до восстановления сервисов и работает с полицией, ИБ-компаниями, ТЦИ/КЦ, НКЦКИ и другими госорганами. Для возврата сервисов инженерам потребовалась ручная проверка и очистка более 1000 серверов от вредоносных механизмов с использованием загрузочных дисков, а к 7 ноября круглосуточные работы перешли к этапу восстановления сильно пострадавших серверов и сайтов из резервных копий. Наиболее тяжёлый удар пришёлся именно по облачному направлению и резервным копиям VPS, о чём команда провайдера прямо сообщила в обновлении за 6 ноября. «К сожалению, восстановить все данные невозможно. Мы долго искали решения, но по актуальной оценке файловые бэкапы VPS будут доступны только для половины пользователей. [...] К сожалению, облачная инфраструктура уничтожена. Облачную инфраструктуру строим заново» — говорится в сообщении Beget. По имеющимся у провайдера данным, на серверах с пользовательскими данными не зафиксировано попыток скачать или изменить информацию со стороны атакующих. Тем не менее провайдер рекомендует сменить все пароли, ключи доступа и другие учётные данные, которые могли храниться на серверах. 👆Отдельно стоит отметить, что аккредитация регистратора ООО «Бегет» приостановлена с 03 ноября 2026 года. В соответствии с положениями Соглашения об аккредитации приостановление аккредитации заключается во введении временных ограничений на регистрацию новых доменных имен второго уровня в доменах .RU и .РФ, а также на прием от других регистраторов поддержки сведений о доменных именах второго уровня, зарегистрированных в доменах .RU и .РФ. В течение всего срока приостановления аккредитации Регистратор обязан выполнять действия, направленные на поддержку доменных имен, зарегистрированных до даты приостановления аккредитации. — сообщается на сайте координационного центра доменов. По разным данным, на инфраструктуре Beget размещалось около 335 тыс. действующих сайтов в доменных зонах .RU, .РФ и .SU ==== 🛡 Обновление от Beget: Хотим дать официальную информацию об аккредитации, чтобы остановить распространение недостоверных сведений. Аккредитация Координационный центр национального домена сети Интернет по доменам .RU и .РФ (КЦ) и РосНИИРОС, временно приостановили нашу аккредитацию по доменам .RU, .SU и .РФ. Это техническая мера, которую требуют регламенты КЦ, РосНИИРОС и Технического центра Интернет (ТЦИ). Приостановка — это не аннулирование и не лишение аккредитации, а стандартная часть протокола реагирования на инциденты. Вместе с КЦ, РосНИИРОС и ТЦИ мы согласовали план возобновления аккредитации. Сейчас мы идём по этому плану и работаем над тем, чтобы аккредитация и доступ к управлению доменами вернулись в ближайшее время. ✋ @Russian_OSINT

👺Как взломщики Anthropic из команды DOGE строят автономную кибероборону OpenAI OpenAI объявила о подготовке спринта по кибербезопасности со стартапом Cathedral, чьи ИБ-исследователи проверят защиту компании её ИИ-моделями. Cathedral в 2026 году создали выходцы из ведомства DOGE Илона Маска во главе с генеральным директором Гэвином Клигером (экс-директором по данным военного ведомства США), Люком Фарритором, Марко Элезом и Джеком Стейном. Публично OpenAI объяснила выбор Cathedral её исследовательским опытом и другими подходами к поиску уязвимостей. Cathedral? Кто такие? Почитать — 🛡 тут и ❗️ здесь. Компания создавалась для развития наступательных и защитных киберопераций. Стартап привлёк $160 млн от Andreessen Horowitz и Sequoia Capital при оценке в $1,4 млрд для усиления кибервозможностей армии США против Китая. Имя в отрасли Cathedral сделала на взломе Anthropic по программе Bug Bounty, по собственным словам получив доступ к чатам Slack, предложениям о работе и записям встреч менее чем за 12 часов. Руководитель направления кибербезопасности Anthropic Логан Грэм заявил, что атака шла несколько дней через сторонние уязвимости вне правил программы без кражи весов ИИ-моделей. Но 28 октября бывший исследователь OpenAI Уилл Депью сообщил о захвате Cathedral полного административного доступа к Slack с чтением всех переписок и входом под любыми аккаунтами. По его словам, обе компании хранят в Slack все секреты и разбрасывают административные API-токены, как при взломе OpenAI в 2023 году через внешний токен. Взлом Anthropic вскрыл главную проблему ИИ-гигантов. Компании тщательно изолируют веса ИИ-моделей, но хранят исследовательские секреты в корпоративном мессенджере Slack. Цепочка эксплойтов для стороннего ПО и перехват административного API-токена позволяют забрать все наработки в обход защищённых кластеров обучения. Партнёрство с Cathedral Гэвина Клигера отражает переход OpenAI от бумажного комплаенса к жёсткой проверке боем своей защиты силами специалистов, пробивших главного конкурента нестандартными методами вне рамок Bug Bounty. ✋ @Russian_OSINT

Telegram doesn't show this post on the web. Open it in Telegram to see it.

Telegram doesn't show this post on the web. Open it in Telegram to see it.

⭕️ Moonshot AI открыла веса флагманской модели Kimi K3.1 Pro Moonshot AI опубликовала веса мультимодальной ИИ-модели с 2,8 трлн параметров и контекстом примерно на 1 млн токенов. При обработке каждого токена активируются 104 млрд параметров. Модель работает с текстом и изображениями, доступна в сервисах Kimi и через API. Разработчики заявляют об улучшениях в программировании, 3D-моделировании и финансовом анализе. По данным компании, возможности поиска и эксплуатации уязвимостей намеренно ослабили, исключив связанные с ними данные и задачи из обучения. ✋ @Russian_OSINT

Компания XBOW опубликовала детальную разбивку расходов на API при автоматизированной разработке полной цепочки эксплойтов для браузера Chrome с помощью ИИ-модели GPT-5.6-sol, которая суммарно обошлась примерно в $40 000. Один из вопросов, который нам задавали чаще всего: Почему создание эксплойта для Chrome с полной цепочкой стоило $40 000 в использовании GPT-5.6-sol? Все затраты распределились по трём основным направлениям: ▪️Поиск уязвимостей ($21 980, или 55%). Главная статья расходов, куда вошли первичный поиск уязвимостей в песочнице с пометкой о загрязнении данных или контекста ($6 950), поиск уязвимостей в компоненте Crashpad ($5 250), поиск способов обхода изоляции движка V8 ($3 870), уязвимостей удалённого выполнения кода (RCE) в рендерере ($3 860) и ошибок повреждения памяти в V8 ($2 050). ▪️Разработка эксплойтов ($9 320, или 23%). Создание рабочих инструментов эксплуатации на базе найденных уязвимостей, включая разработку эксплойта для Crashpad ($5 890), написание эксплойта для рендерера с портированием под Windows ($2 380) и финальную сборку всей цепочки ($1 050). ▪️Оркестрация и резервные маршруты ($8 790, или 22%). Затраты на проработку резервных маршрутов атаки ($6 780) и управление процессом через систему оркестрации ($2 010). Суть сводится к тому, что при создании сложных эксплойтов силами ИИ-систем основная часть бюджета уходит не на написание самого кода атаки, а на масштабный перебор вариантов при поиске уязвимостей и проверку параллельных резервных гипотез. ✋ @Russian_OSINT

Telegram doesn't show this post on the web. Open it in Telegram to see it.

🇫🇷 Хакеры выставили 110 °C в холодильниках с плазмой крови Утверждается, что в ночь с 1 на 2 ноября 2026 года кибератаке подверглась компания Coolworld, обслуживающая холодильное оборудование Французской службы крови (EFS). По данным Le Canard enchaîné, злоумышленники изменили температурные настройки холодильных камер с −30 °C на +110 °C. В них хранились образцы донорской крови и замороженная плазма, предназначенная для переливаний. Аномальное повышение температуры обнаружил 👷дежурный техник. Министерство здравоохранения Франции заявило, что инцидент не повлиял на работу службы. Хакеры установили на холодильном оборудовании температуру 🥵+110 °C вместо штатных −30 °C. До какой отметки успело нагреться оборудование и пострадали ли хранившиеся внутри препараты крови, не уточняется. Ещё 12 октября французский CERT-FR предупредил о массовой компрометации контроллеров холодильных установок Danfoss, Copeland и Dixell. Связь атаки на Coolworld с этими инцидентами пока не установили. ✋ @Russian_OSINT

🈁 Claude помог обнаружить две уязвимости Xen, нарушающие изоляцию виртуальных машин 3 ноября Xen Project раскрыл две уязвимости (CVE-2026-102703 и CVE-2026-102704) в механизме Grant Copy. Ошибки позволяют злоумышленнику, контролирующему гостевую виртуальную машину, читать и изменять память других ВМ, включая управляющий домен Dom0. ▪️Уязвимы все версии Xen начиная с 4.6. Известных временных мер защиты нет, однако разработчики уже опубликовали исправления. ▪️Уязвимости обнаружила команда Anthropic с помощью Claude. Находки подтвердил Стефан Липп из Ada Logics, а команда CodeAnt независимо сообщила о тех же проблемах. ▪️Qubes OS подтвердила, что затронуты все поддерживаемые конфигурации. Исправление Xen 4.19.6-3 для Qubes 4.3 проходит тестирование. После его установки потребуется перезапуск Dom0. Подтверждённых случаев эксплуатации в реальных атаках бюллетень Xen не приводит. ✋ @Russian_OSINT

Канал 🔨SecAtor пишет интересное: В рамках новой атаки на цепочку поставок пользователи Cursor стали жертвами вредоносных версий расширения Claude Code от Anthropic. Инцидент произошёл 29 октября и затронул версии 2.1.312 и 2.1.313 расширения anthropic.claude-code, которые размещались в магазине расширений Cursor VS Code примерно 11 часов. Расширение для пользователей macOS и Windows содержало код JavaScript, который запускался при загрузке модулей для установления обратного SSH-туннеля. Как отмечает Кевин Бомонт, вредоносные версии могли быть загружены примерно на 5000 системах разработчиков. При этом модифицированные версии расширений не были разработаны Anthropic и не были опубликованы в Microsoft Visual Studio Marketplace, Open VSX или реестре NPM. Злоумышленник использовал доступ к маркетплейсу Cursor для публикации модифицированной копии расширения Claude Code. Во избежание путаницы Anthropic обновила свое легитимное расширение Claude Code до версии 2.1.314. Cursor достаточно быстро удалила модифицированное расширение Claude Code из магазина после его обнаружения и приостановила работу торговой площадки для расследования инцидента. При этом не обнаружила других вредоносных расширений, тем не менее сменила все ключи. Модифицированные версии расширения содержали функционал JavaScript, который выполнялась во время загрузки модуля для сбора информации о хосте, изменения файлов и выполнения команд операционной системы. Как сообщает Microsoft, загрузчик пытался установить ключ SSH, включить SSH, создать обратный туннель и обеспечить сохранение. После этого с помощью отложенного обратного вызова предпринималась попытка отправить сведения о хосте. Код собирал такую информацию, как имя хоста, имя пользователя, ОС, архитектуру системы, рабочий каталог и глобальный адрес электронной почты Git, а также развертывал скрипты, специфичные для платформы, и конфигурации запуска для обеспечения постоянного доступа. По данным Cursor, поскольку для включения локальной службы SSH требуются права администратора, а расширение не обладает ими в большинстве систем macOS и Windows, этот шаг не удался, что помешало злоумышленникам войти в систему через туннель. Cursor выпустила скрипт для детектирования заражения, а также IOCs для выявления потенциальных угроз безопасности в различных средах. Пользователям следует как можно скорее удалить вредоносные версии расширений. Однако, как отмечают в Cursor, необходимо иметь в виду, что удаление расширения может быть недостаточным - полезная нагрузка создает автономные скрипты обеспечения постоянного присутствия.

Telegram doesn't show this post on the web. Open it in Telegram to see it.

🤿 Целенаправленная атака ИИ-агентов на инфраструктуру GitBook привела к отзыву всех API-токенов и отключению сервисов платформы Разработчики популярной платформы для ведения технической документации GitBook раскрыли детали сложной целенаправленной кибератаки с применением ИИ-агентов. Вечером 2 ноября 2026 года в 21:00 мск злоумышленник получил несанкционированный доступ к части инфраструктурных учётных данных компании. Команда безопасности зафиксировала проникновение сразу после его начала, заблокировала атакующего и устранила задействованные уязвимости. Для полной проверки защищённости систем инженеры временно отключили основное приложение GitBook и закрытые сайты документации с обязательной аутентификацией, тогда как общедоступные страницы продолжали работать за счёт кэшированных данных. Внутреннее расследование показало, что на текущем этапе нет никаких признаков изменения пользовательского контента внутри платформы, однако злоумышленник мог получить доступ к четырём категориям чувствительных данных: ▫️ токены интеграций со сторонними сервисами; ▫️ секреты синхронизации Git Sync; ▫️ клиентские API-токены; ▫️ вопросы, которые посетители сайтов задавали встроенному помощнику GitBook Assistant. Чтобы исключить сохранение контроля над инфраструктурой, специалисты компании полностью заменили все внутренние учётные данные и секреты, а также принудительно аннулировали все персональные и клиентские API-токены на платформе. Работа приложения GitBook, программного интерфейса API и опубликованной документации была восстановлена 3 ноября к 18:21 мск, хотя отдельные сервисы ещё могут работать со сниженной производительностью до завершения всех восстановительных процедур. Администраторам клиентских организаций необходимо перевыпустить существующие API-токены GitBook, сменить ключи и секреты сторонних инструментов и опубликованных интеграций, а при использовании MCP-сервера GitBook заново пройти в нём аутентификацию. В ближайшее время компания опубликует подробный технический отчёт по итогам расследования инцидента. ======= 🤯Что-то слишком много взломов за последнее время... ✋ @Russian_OSINT

Telegram doesn't show this post on the web. Open it in Telegram to see it.

😁 Ubuntu предложила временную защиту от критической уязвимости ядра Linux На странице CVE-2026-98432 в базе безопасности Ubuntu появилась инструкция по временной фильтрации входящих IPv4/TCP-пакетов с дополнительными параметрами заголовка IPv4 через nftables. Мера призвана снизить риск эксплуатации критической уязвимости сетевого стека Linux, получившей оценку 9,8 балла по CVSS 3.1. При этом команда безопасности Canonical подчёркивает, что полноценное устранение проблемы требует обновления ядра, поскольку фильтрация не гарантирует защиту от всех возможных способов эксплуатации. Уязвимость возникает из-за состояния гонки при обработке TCP-соединений. Когда одно ядро процессора освобождает память, содержащую параметры IPv4, другое может продолжать обращаться к уже освобождённому участку. Возникает ошибка use-after-free, которая позволяет злоумышленнику вызвать повреждение памяти ядра, отказ в обслуживании и потенциально добиться удалённого выполнения кода. ИБ-исследователи Anthropic продемонстрировали успешную эксплуатацию уязвимости с помощью неопубликованной исследовательской ИИ-модели Claude, получив возможность выполнять команды с правами root на Linux-сервере с прослушивающим MPTCP-сокетом. Полную цепочку эксплуатации Anthropic не опубликовала, а в самой Canonical отметили, что о появлении в открытом доступе других готовых эксплойтов для этой уязвимости им неизвестно. ​ Предложенная фильтрация отбрасывает входящие IPv4/TCP-пакеты, содержащие дополнительные поля параметров IPv4. Обычные параметры TCP, включая временные метки и масштабирование окна, продолжают работать, поскольку находятся в заголовке TCP, а не IPv4. Правило не затрагивает IPv6, но может нарушить соединения, которым действительно необходимы параметры IPv4. Кроме того, приведённый пример nftables применяется к самому хосту (включая соединения хоста с самим собой), а в контейнерах с отдельной сетью правило необходимо настраивать отдельно. Отключение MPTCP также не гарантирует устранения угрозы, поскольку уязвимость не ограничена исключительно этим механизмом. ​ По состоянию на 3 ноября 2026 года Canonical продолжает выпуск исправлений. Для стандартных ядер Ubuntu 22.04 LTS, 24.04 LTS и 26.04 LTS исправленные пакеты уже доступны в тестовом репозитории -proposed, но не устанавливаются при обычном обновлении. Статус других вариантов ядер, включая HWE, необходимо проверять отдельно. Для Ubuntu 26.10 в официальном сообщении Canonical указана исправленная версия 7.3.0-10.10, хотя страница отслеживания CVE пока сохраняет для неё статус работы над исправлением. Поэтому администраторам необходимо сверять установленную версию ядра с данными Canonical, а временную фильтрацию рассматривать исключительно как дополнительную меру до установки исправления. 👆По данным ИБ-исследователя Маркуса Хатчинса, готовых эксплойтов для удалённого выполнения кода в открытом доступе сейчас нет, однако в сети уже появились PoC для вызова отказа в обслуживании, которые дают злоумышленникам отправную точку для создания полноценного эксплойта. Его сканирование показало, что потенциальная поверхность атаки по порту 443 охватывает около 2,1 млн доступных по MPTCP серверов, поскольку этот протокол по умолчанию включён в ряде ядер (включая Debian) и автоматически используется приложениями на базе Go 1.24+ (в том числе Caddy). При этом со 2 ноября через резидентные прокси и BПH-серверы фиксируется сканирование таких узлов, а отключение протокола через параметр net.mptcp.enabled=0 не действует на уже открытые сокеты и требует перезапуска привязанных к ним приложений. ​ ✋ @Russian_OSINT

💬По Beget информация: Разбор текущей ситуации: В ночь с 1 на 2 ноября 2026 года на нашу инфраструктуру была совершена кибератака с получением доступа к управляющему контуру всей архитектуры и последующим запуском обнуляющих скриптов. На текущий момент мы не можем раскрыть все детали происходящего, в том числе в целях последующего безопасного запуска инфраструктуры. Восстановление инфраструктуры, которая пострадала в этой атаке, продолжается. Что уже сделано: • Восстановление dedicated‑серверов под собственным администрированием пользователей. Данный сервис был восстановлен 2.11 ориентировочно в 14:00. • Восстановление DNS‑серверов. Доступен функционал смены DNS‑записей (A, MX, TXT) в зонах ru/рф/su — можно перенаправить домены на другие адреса. Это применимо для доменов, зарегистрированных в Beget и направленных на DNS‑сервера Beget. Над управлением международными доменами ведётся работа. • Восстановление 80 % инфраструктуры почтового сервиса. Ожидаем полный вывод его в полноценную эксплуатацию в течение 10 часов. • Домены. Мы договорились с КЦ (Координационный центр сети Интернет) о том, чтобы домены в зонах .ru/.рф/.su у которых заканчивается срок делегирования, не были разделегированы и продолжили работать. По международным доменам продолжается работа. Напоминаем, что приоритетное продление домена возможно даже после окончания его регистрации. Общее состояние инфраструктуры Beget на данный момент: Бэкапы и резервные копии. Файловые бэкапы всего хостинга и облачной инфраструктуры сохранены, но без восстановления работы нашей инфраструктуры нет возможности предоставить к ним доступ прямо сейчас. Это связано с необходимостью ручной проверки каждого сервера на наличие скрытых уязвимостей и вредоносных скриптов. К сожалению, просто включить серверы без их тщательной проверки невозможно. К сожалению, бинарные бэкапы VPS полностью утеряны. Остаётся возможность восстановления данных из файловых бэкапов. Выделенные серверы. Все серверы без нашего администрирования введены в работу. На серверах под нашим администрированием большая часть данных также сохранилась, продолжается проверка и ввод серверов в работу. Хостинговые серверы. По предварительной оценке, восстановлению подлежат почти 100 % сайтов, размещавшихся на виртуальном хостинге. Мы приступили к восстановлению работы хостинговых серверов. Запуск виртуального хостинга также требует скрупулёзной проверки серверов, и на это также требуется значительное время. Облачная инфраструктура. В облачной инфраструктуре (VPS, S3 и Kubernetes) все данные были утрачены. Сохранены файловые бэкапы VPS. Настройки CDN, IP утрачены. Мы не сдаёмся и продолжаем поиск способов восстановить эти данные. Доменные имена. Ваши доменные имена в безопасности. Мы уже работаем над восстановлением управления доменами. Вы уже сейчас можете управлять DNS‑записями доменов. Панель управления. В течение 24 часов мы предоставим ограниченный интерфейс для управления частью услуг. Конкретные сроки восстановления всех сервисов сейчас уточняются. Это займёт существенное время, так как требуется ручная проверка более 1000 серверов. По тем данным, которые сейчас есть, мы видим, что на серверах, где были данные пользователей, не было попыток скачать или изменить данные. Мы рекомендуем сменить все пароли, ключи доступа и другие учётные данные, которые могли храниться на серверах. Все сотрудники Beget работают в кризисном режиме. Отдел DevOps работает круглосуточно и будет работать в таком графике до окончания работ по инциденту. Мы знаем, что вы на нас рассчитываете, и прикладываем максимум усилий. Мы понимаем, что в текущей ситуации вам бы хотелось иметь больше информации и контроля, однако мы не можем делиться информацией, которая на данном этапе ещё может повредить проведению расследования. Спасибо за ваше понимание. По мере появления достоверной информации мы будем её публиковать. ✋ @Russian_OSINT

Telegram doesn't show this post on the web. Open it in Telegram to see it.

Telegram doesn't show this post on the web. Open it in Telegram to see it.

🥷Троянец-стилер VOLTA превратил языковые модели в аналитиков для оценки активов жертв Выявленный в рамках исследовательской инициативы CAIRN новый троянец-стилер для Windows под самоназванием VOLTA-AUTODOXER (VOLTA) автоматизировал первичную разведку, составление профиля и оценку ценности активов скомпрометированных пользователей с помощью LLM. Cisco Talos пишут, что вредоносная программа с функцией самоудаления работает полностью без собственной серверной инфраструктуры злоумышленников и перекладывает всю постобработку украденных данных на легитимные сторонние сервисы. Вместо простого слива сырых логов операторам троянец-стилер формирует 👀 структурированное досье жертвы и отправляет его на анализ в ИИ-модель прямо с заражённого компьютера через собственное сетевое подключение самого владельца. Троянец-стилер VOLTA крадёт пароли, файлы cookie и данные карт из браузеров Chromium (обходя защиту App-Bound Encryption через запуск Chrome с параметром --headless), собирает сессии мессенджеров, игр и облаков, пароли Wi-Fi и на лету взламывает криптокошельки, а затем через захваченные сессии проверяет чеки в Gmail и историю доставок еды для подтверждения домашнего адреса жертвы. 🕵️‍♂️Собранное досье передаётся через API OpenRouter языковой модели, которая по системному промпту оценивает операционную безопасность пользователя и ранжирует его активы для монетизации, причём в случае отказа запрос каскадно переключается от 🈁Claude Opus 4.6 к ⭕️ Kimi K2 и ❗️Gemini 2.5 Flash. Как отмечает автор отчёта Райан Феттерман, распространение стилера по модели конструктора с выгрузкой готовых сводок в Telegram полностью перекладывает аналитическую сортировку жертв с оператора на ИИ-модель. Для защиты рекомендуется запретить сторонним процессам запуск Chrome с параметром --headless, а при компрометации сохранить журнал %APPDATA%\volta_debug.txt, сбросить пароли и токены и перевести криптоактивы на кошелёк, созданный на устройстве с воздушным зазором. ✋ @Russian_OSINT

Telegram doesn't show this post on the web. Open it in Telegram to see it.