SecAtor

Huntress сообщает, что в рамках новой кампании злоумышленники скомпрометировали сотни конечных устройств у десятков клиентов ConnectWise, воспользовавшись уязвимостью в легитимном расширении, чтобы обойти аутентификацию ScreenConnect. Атаки были зафиксированы 11 ноября, когда хакеры, используя несанкционированный доступ к облачным панелям ScreenConnect, выполнили команды на управляемых конечных устройствах. По данным Huntress, в результате атаки были скомпрометированы как минимум 6 MSP-провайдеров и 288 хостов в 48 организациях. Причем злоумышленники смогли отработать все 288 скомпрометированных хостов в течение 90 минут. В результате действий злоумышленников были развернуты поддельные клиенты ScreenConnect и набор вредоносных инструментов под названием SCKit, который обеспечивает постоянный доступ через бэкдор, перехватывает сессионные cookie-файлы и способен к самовоспроизведению. Первоначально развертываемая через панели ScreenConnect, вредоносная ПО ожидает подключения технического специалиста к скомпрометированному устройству, чтобы заразить его рабочую станцию. Затем пытается скомпрометировать другие сеансы, к которым он имеет доступ, и распространяется на другие панели. Однако не весь функционал были обнаружены в ходе наблюдаемых инцидентов: часть артефактов удалось выявить в результате анализа полезной нагрузки. В ходе атак хакеры использовали уязвимость в RMM+, стороннем расширении для управления сессиями ScreenConnect, которое использует общий ключ доступа для обхода механизма аутентификации ScreenConnect. Вероятно, хакеры воспользовались ошибкой в версиях расширения 1.0.31 и 1.0.32, где ключ доступа по умолчанию пуст, если он не настроен, что позволяет злоумышленнику обойти аутентификацию с помощью пустого значения. Huntress отметила, что в ходе расследования было установлено, что команды достигали конечных точек в течение нескольких минут. Однако соответствующей активности при входе в систему не наблюдалось, а проанализированные журналы были связаны с RMM+. В ответ на это компания ConnectWise отключила пять расширений из семейства RMM+ примерно в 400 средах ScreenConnect, включая Labtech Plus, RMM Plus, RMM+, RMM Plus Password Link и RMM+ Password Link. В компании отметили, что само их присутствие не является основанием для компрометации. Эти расширения предоставляют API, способный выполнять удаленные команды. Доступ к этому API защищен парольной фразой, настроенной партнером во время установки. Huntress и ConnectWise представили IOCs, связанные с этой кампанией, рекомендуя организациям отключить расширения в своих локальных развертываниях ScreenConnect.

Исследователи Positive Technologies в новом отчете расчехлили деятельность APT StingyBasilisk. В начале 2026 года PT ESC IR обнаружила сложную угрозу, которую назвали StingyBasilisk, активную как минимум с апреля 2022 года. Злоумышленники продолжительное время удерживали контроль над скомпрометированной инфраструктурой, действуя скрытно и маскируясь под легитимные средства защиты, применяемые организацией. Исходный вектор заражения установить не удалось, но Позитивам удалось выявить развернутую сеть собственных агентов злоумышленника, управление которыми осуществлялось через именованные каналы Windows. APT-группировка применяла широкий набор техник сокрытия присутствия, что позволяет предположить шпионаж в качестве конечной цели атаки. Для закрепления на скомпрометированных хостах использовались COM Hijacking (для запуска SilentCOM) и Time Providers (для обеспечения персистентности TediousLoader). Перемещение внутри периметра выполнялось с использованием протокола SMB, а удаленный запуск - с помощью планировщика заданий Windows. Именно так с февраля 2026 года StingyBasilisk доставляла загрузчик CunningDoor. Все обнаруженные образцы вредоносного ПО представляли собой DLL-библиотеки, задача которых состояла в ожидании и исполнении полезной нагрузки в памяти процесса Windows. Исследователи полагают, что в арсенале злоумышленников есть собственный C2-фреймворк, в котором полезная нагрузка представляет собой шелл-код, существующий только в памяти Windows. В качестве средства управления при этом может использоваться как именованный канал (named pipe), так и сетевое соединение с любым адресом. Это позволяло выстраивать многоуровневую цепочку скомпрометированных хостов, взаимодействие между которыми осуществлялось через эти каналы. StingyBasilisk также использует технику нативного захвата сырых сокетов Windows для анализа сетевого трафика на скомпрометированном хосте с целью получения адресов C2-серверов. В арсенале атакующих также присутствовал бэкдор, анализирующий сетевой трафик зараженного узла для извлечения полезной нагрузки. Из-за активного применения именованных каналов для управления и сложности обнаружения полезной нагрузки группировка и получила свое название. Подобная архитектура обеспечивала скрытность действий и позволяла проникать в изолированные сетевые сегменты, обходя традиционные периметровые средства защиты. На текущий момент нет информации, позволяющей достоверно связать атаку василисков с какой-либо из известных APT. На текущий момент Позитивы оценивают StingyBasilisk как одну из наиболее сложных угроз, с которыми им пришлось сталкиваться с начала 2026 года. IOCs и TTPs - в отчете.

Исследователи Лаборатории Касперского обнаружили попытку украинской хакерской группы BO Team осуществить атаку на цепочку поставок неназванного российского IT-провайдера. В июне 2025 года представители компании-разработчика ПО обратились в ЛК с сообщением о подозрительной активности в их сети: на компьютерах сисадминов фиксировались попытки подключения по протоколу SMB с учетных записей, которые не должны были иметь доступа к этим системам. В первый же день реагирования на инцидент Касперы обнаружили следы вредоносного ПО и восстановили команды, выполненные злоумышленниками на скомпрометированной системе, которые были характерны для APT-группы Black Owl (BO Team). Дальнейшее расследование выявило масштабный взлом инфраструктуры пострадавшей организации. Хакеры оставались в сети атакованной организации в течение нескольких месяцев, похищая конфиденциальную информацию. Злоумышленники захватили почти все её ключевые компоненты, включая серверы Windows и Linux, рабочие станции, гипервизоры, системы оркестрации Ansible, серверы резервного копирования, серверы управления решениями безопасности и даже сетевое оборудование. Хакеры даже взломали инфраструктуру веб-серверов организации и получили контроль над её DNS-зоной. Обычно BO Team крадет конфиденциальную информацию и выводит из строя ИТ-инфраструктуру, используя ransomware, после чего публикует результаты своих операций в Telegram-канале, что делает их похожими на хактивистов. Однако в данном случае, похоже, они преследовали иные цели: не было ни уничтожения данных, ни пиар-кампаний с демонстрацией успешной операцией по краже данных. Вместо этого злоумышленники работали над тем, как бы закрепиться в сети жертвы, создавая удобные каналы С2 и устанавливая бэкдоры для восстановления доступа в случае его утраты. Компрометация инфраструктуры разработки программного обеспечения (CI/CD) и сервера цифровой подписи программного кода указывала на то, что атака, скорее всего, перерастет в сценарий атаки на цепочку поставок. На основании анализа обширных данных, предоставленных ЛК в рамках реагирования на инцидент, мы считаем, что длительный характер атаки привел к неосторожности злоумышленников, и их действия были обнаружены. По итогу атаку удалось раскрыть и предотвратить еще до того, как нападавшие достигли своей цели, а ряд ошибок, допущенных командой BO Team, позволив многое узнать о TTPs этой группы. Почему инцидент оставался незамеченным так долго? Этому способствовали сразу несколько факторов: - устаревшее решение в области безопасности, система SIEM, которая внедрялась только на момент атаки и, следовательно, фактически не существовала, - отсутствие необходимых обновлений операционной системы и прикладного программного обеспечения, - недостаточная сегментация сети, - хранение данных аутентификации в открытом виде, - нехватка персонала, занимающегося ИБ в организации. С момента описанных событий прошел почти год. ЛК не публиковала исследование раньше, чтобы дать время на устранение всех недостатков по линии ИБ, а главное убедиться, что попытки BO Team вернуться к своей инфраструктуре оказались безуспешными. Так что теперь, обширная аналитика и подробный технический обзор доступны - в отчете. Настоятельно рекомендуем ознакомиться.

Данные клиентов Notion утекли в результате взлома ИИ-платформы Fireworks. Правда, как заявляется, злоумышленники получили доступ к расшифровкам чатов менее чем 1% рабочих пространств Notion. Универсальная платформа для совместной работы и повышения производительности Notion сейчас рассылает уведомления в адрес ограниченного круга клиентов, предупреждая о компрометации их информации в результате утечки данных, связанной с Fireworks AI. Облачная платформа Fireworks AI для запуска и тонкой настройки моделей ИИ с открытым исходным кодом уже дважды подвергалась взлому: Олин раз - в октябре из-за скомпрометированных внутренних учетных данных, а второй раз - через стороннего облачного провайдера, на серверах которого размещались исследовательские машины Fireworks. Второй инцидент, связанный с недавним ростом активности LLMJacking, произошел 24 октября, когда злоумышленники запустили несанкционированную программу, что привело к компрометации данных клиентов. Fireworks локализовала инцидент в тот же день и 2 ноября уведомила Notion о том, что данные Notion AI были получены несанкционированным доступом. До инцидента Notion использовала Fireworks в качестве универсального поставщика услуг по выводу данных для создания моделей с открытыми весами. В ходе расследования, проведенного компанией Notion в связи с утечкой данных, было установлено, что хакеры получили доступ к расшифровкам чатов Notion AI, используемым для функции Insights, которая помогает клиентам понять, как они используют ИИ. Затронуто менее 1% рабочих пространств Notion, и большинство расшифровок не удалось отнести ни к конкретному клиенту, ни к рабочему пространству, из которого они были получены. При этом помимо самой стенограммы чата, нет никакой информации, которая бы связывала чат с рабочими пространствами, пользователями или компаниями. Компания связалась с пострадавшими клиентами и предоставила им инструкции по безопасному извлечению и анализу данных в их рабочих пространствах, но не сообщает, сколько конкретно клиентов пострадало. Notion рекомендуем рассматривать эти данные как раскрытые. Если во время инцидента в Notion AI попадала конфиденциальная информация, пароли, ключи API или другие учетные данные, следует заменить все раскрытые креды. Компания пока никак не реагирует на запросы дополнительной информации, так что будем следить.

• У бывшего инженера Microsoft Дэйв Пламмер, который работал над добавлением поддержки ZIP-файлов в Windows и меню "Пуск" Windows NT, есть аналог "Блокнота" для Windows под названием TinyRetroPad. Причем этот проект имеет размер 2,5 КБ и опубликован на GitHub под лицензией Apache License 2.0. • Текстовый редактор TinyRetroPad написан на ассемблере. В решении используется класс RICHEDIT50W для обращения к WinAPI и в значительной степени использует присутствующие в штатной поставке Windows программные компоненты. В проекте есть возможность открытия и сохранения файлов, а также выбор шрифтов и печать текста. Это доработка простого редактора DTE. Проект TinyRetroPad расширен за счёт добавления реальных меню и диалоговых окон (Открыть/Сохранить/Сохранить как, Печать/Параметры страницы, Найти/Заменить/Перейти, Шрифт, Перенос слов, Время/Дата и строка состояния Ln/Col) и в итоге занимает около 2476 байт. Каждое добавление было максимально оптимизировано по размеру; журнал логов в начале файла trpad.asm показывает стоимость каждой функции в байтах. — пояснил Пламмер. ➡ https://github.com/PlummersSoftwareLLC/TinyRetroPad S.E. ▪️ infosec.work ▪️ VT

Продолжаем обзор наиболее актуальных узвимостей и угроз, отметим следующие: 1. N-able после отключения своей SaaS-платформы RMM N-central из-за раскрытия 33 уязвимостей успела достаточно оперативно отработать пакет проблем под общим названием Able2Shell, выпустив исправления для наиболее важных нулей - N-central 2026.4 HF2. Напомним, что ранее исследователь Шон Бейлс опубликовал уязвимости, не уведомив N-able, поскольку компания не устранила ранее обнаруженные ошибки. Причем в Defused в течение последних 24 часов наблюдали попытки взлома N-able N-central с нацеливанным на нули Able2Shell. Shadowserver сообщает, что сейчас в сети находятся чуть более 148 серверов N-central, что значительно меньше, чем 1338 серверов, обнаруженных в понедельник. 2. Google выпустила обновление для устранения активно используемой 0-day в Chrome. CVE-2026-125350 представляет собой ошибку управления памятью в XML-компоненте Chrome. Это восьмая уязвимость нулевого дня в Chrome, которую Google устранила в этом году. 3. Группа киберразведки PT ESC обнаружила эксплуатацию CVE-2026-21513 в атаках на российские организации. Начальным звеном цепочки служил DOCX-документ «2026 Приказ от 08.10.2026 25-118ап.docx». Анализ файла и связанных компонентов позволил восстановить цепочку доставки JScript-бэкдора. 4. Исследователи Air Security обнаружили уязвимость в навыках Anthropic для работы с файлами DOCX, PPTX и XLSX, которая позволяет злоумышленникам выполнять вредоносный код на компьютере пользователя под управлением Linux. 5. Onapsis опубликовала отчеты об ICM2SHELL и PROXYGATE, двух уязвимостях RCE на этапе предварительной аутентификации в платформе SAP NetWeaver. Обе уязвимости были исправлены в рамках обновления SAP Patch Tuesday в этом месяце. 6. В сети Claroc обнаружила более 35 000 приложений, разработанных с помощью Grok, некоторые из них содержат утечки конфиденциальных данных и паролей. 7. Злоумышленники используют две уязвимости в Openwave Webtop Media Transcoder и Cisco BroadWorks для получения доступа к конфиденциальной информации. Уязвимость в Webtop Media Transcoder (CVE-2026-111793) существует из-за того, что не соблюдаются ограничения на типы файлов, установленные администратором. JVN сообщила об использовании этой уязвимости, предупредив, что авторизованный злоумышленник может использовать её для загрузки специально созданного файла и получения конфиденциальной информации. Уязвимость Cisco BroadWorks (CVE-2026-20320) была обнаружена 19 августа как внеполосная слепая инъекция внешних XML-сущностей, которую можно использовать удаленно, без аутентификации, для чтения конфиденциальной информации о конфигурации. Malbear Labs предупредила, что китайскоязычный злоумышленник использует эту уязвимость в масштабной кампании, основанной на автономном ИИ, для атаки на европейского телекоммуникационного провайдера и его клиентов. 8. CISA обновила свою базу данных KEV, добавив четыре уязвимости, которые в настоящее время используются злоумышленниками: это недавняя ошибка в платформе кластеров GPUStack GPU, серверах IBM Aspera, телефонных серверах SignalWire FreeSwitch и SSHhole.

В Xen Orchestra активно используется критическая уязвимость, позволяющая обойти аутентификацию, в атаках, которые могут предоставить права администратора и обеспечить захват виртуализационных хостов XCP-ng. Xen Orchestra - это веб-платформа управления, разработанная французской компанией Vates, используемая для управления средами виртуализации XCP-ng, включая виртуальные машины, хосты и пулы. VSA-2026-062 затрагивает Xen Orchestra и Xen Orchestra Appliance (XOA), позволяя удаленным злоумышленникам, имеющим сетевой доступ к интерфейсу управления, обходить аутентификацию с помощью специально созданного cookie-файла. Уязвимость обнаружили Филип Мэджик и Кристоффер Олсен из компании TDC NET Security. Идентификатор CVE и оценка CVSS пока еще не присвоены. Согласно уведомлению Vates, уязвимость связана с тем, как Xen Orchestra обрабатывает токены аутентификации, отправляемые через запросы REST API, конкретно файлы cookie аутентификации. Отправив специально созданный cookie (authenticationToken=j:%7B%7D), содержащий пустой JSON-объект ( {}), злоумышленники могут обманом заставить платформу получить существующий токен аутентификации и войти в систему как его владелец, не требуя при этом фактических учетных данных. После аутентификации злоумышленники могут получить «многоразовые идентификаторы токенов для входа в систему» через /rest/v0/users/me/authentication_tokens конечную точку REST API, которые затем могут быть использованы для дальнейшего доступа. Vates предупреждает, что злоумышленник после обхода аутентификации может выполнять действия с правами администратора. Компрометация Xen Orchestra может привести к выполнению произвольного кода в управляемых пулах и полному захвату узлов XCP-ng. Компания выпустила Xen Orchestra 6.9.1 (стабильная версия) и 6.10.0 (последняя версия), включая исправленные пакеты xo-server 5.211.2 и 5.213.1 для устранения этих уязвимостей. Администраторам следует немедленно установить обновление, а если это невозможно, ограничить доступ Xen Orchestra к выделенным сетям управления и заблокировать известные вредоносные IP-адреса. Vates подтвердила, что уязвимость активно используется злоумышленниками, и предоставила следующие IOCs: - инфраструктура злоумышленника: 91.211.251.112:8001 или ustar3rqxgnskzgnwkgpofgtvxevm6cx3lxdbwt4mndtveqyaohid.onion:3333. - Подозрительные файлы cookie аутентификации: HTTP-запросы, содержащие authenticationToken=j:%7B%7Dили authenticationToken=j:{}. - Виртуальные машины: виртуальная машина с именем pivot2. - Измененные конфигурации виртуальных машин: виртуальные машины, настроенные с использованием hvm_serial: file параметра. - Необычные файлы: /etc/cron.d/zz-ustar , /etc/cron.d/zz-ustar2, /.ustar5, и /.ustar6. Вместе с тем, Vates предупреждает, что эксплуатация уязвимости не приведет к созданию каких-либо идентификаторов в журналах, таких как использование специально созданных файлов cookie, и вместо этого должна быть обнаружена посредством мониторинга HTTP. Компания также заявляет, что эти индикаторы компрометации связаны только с данной известной кампанией атак и могут отличаться для других субъектов угроз. Компаниям, которые считают, что их система скомпрометирована, следует регулярно менять пароли и секретные ключи, используемые в их виртуализированных средах.

Исследователи Лаборатории Касперского отметили основные аспекты безопасности систем виртуализации, подробно проанализировав атаки на разных уровнях и последствия ошибок в конфигурации. Виртуальная среда предприятия - это не только инфраструктура Hyper-V, VMware или Docker, а целый стек, состоящий из взаимосвязанных компонентов. Важные границы безопасности проходят не только между гостевой системой и гипервизором, но и между рабочей нагрузкой и уровнем управления, системой мониторинга и гипервизором, реестром и механизмом развертывания, рабочим местом администратора и консолью управления, уровнем управления и хранилищем данных, а также отдельными сегментами виртуальной сети. В виртуальных средах инциденты безопасности могут происходить из-за уязвимостей в ПО, ошибок персонала, небезопасных конфигураций или сочетания этих факторов. При этом злоумышленнику достаточно скомпрометировать хотя бы один подходящий переход. Расследование таких инцидентов зачастую выходит за рамки анализа рабочих нагрузок. Гипервизоры, среды выполнения контейнеров, административные консоли, платформы мониторинга, системы идентификации, виртуальные сети, хранилища данных, резервные копии и учетные записи автоматизации - все эти компоненты взаимосвязаны и могут стать частью цепочки атаки. Недавно команда GERT ЛК расследовала два инцидента с ransomware в инфраструктурах ESXi и Proxmox. В обоих случаях слабый контроль доступа, недостаточная сегментация сети, открытые службы администрирования и небрежное управление привилегированными учетными данными позволили злоумышленникам совершить атаки с ощутимым ущербом. В одном из случаев система мониторинга с доступом к уровню виртуализации содержала пароль пользователя root, который также применялся в других системах. Когда злоумышленник использовал эту цепочку атаки, ему хватило стандартного административного доступа, чтобы скомпрометировать сразу несколько хостов - без побега из виртуальной машины (ВМ). Эти инциденты наглядно демонстрируют, почему установка исправлений и безопасная конфигурация должны идти рука об руку. Полностью обновленный гипервизор все равно можно скомпрометировать через общий пароль, учетную запись мониторинга с избыточными привилегиями, открытый SSH-доступ или интерфейс администрирования, доступный из общей серверной сети. В руководстве NIST безопасные базовые конфигурации, ограниченный административный доступ, актуальные обновления и мониторинг всех уровней представлены как часть единого комплекса надлежащих практик безопасности. В новом исследовании ЛК разбирает оба инцидента, делая акцент на типичных небезопасных практиках, которые были использованы атакующими и привели к компрометации, а также на мерах по устранению последствий. Кроме того, исследователи выделили более широкий круг угроз, актуальных для виртуальных сред, дабы получить лучшее представление о возможных стратегиях защиты. В общем, настоятельно рекомендуем взять на вооружение.

Microsoft продолжают внедрять ИИ в свою работу, выкатив PatchTuesday за ноябрь 2026 года с исправлением рекордных 1235 уязвимостей, включая одну активно используемую 0-day в Microsoft Outlook. В этом обновлении устранены 66 критических уязвимостей, 48 из которых представляют собой RCE, 15 - EoP, и 3 - use-After-Free в Microsoft Edge. Если по категориям: 536 - EoP, 27 - обход функции безопасности, 296 - RCE, 157 - раскрытие информации, 46 - DoS, 22 - подмена данных, а также еще 142 - в Microsoft Edge (на основе Chromium). Из 1235 обнаруженных уязвимостей примерно 639 относятся к Microsoft Windows или его компонентам. В этом месяце в рамках PatchTuesday исправлена одна 0-day в Microsoft Outlook, которая использовалась в атаках. Речь идет о CVE-2026-124194, уязвимости подмены в Microsoft Outlook, которая активно использовалась для кражи хешей учетных записей NTLM. Microsoft приписывает открытие ошибки исследователям nono и Бенуа Севенсу. В благодарности Севенсу упоминается использование модели Claude от Anthropic. Неавторизованный злоумышленник может отправить специально созданный файл сообщения и убедить пользователя открыть его в уязвимой версии Microsoft Outlook. Это может привести к тому, что Outlook подключится к сетевому расположению, контролируемому злоумышленником, без отображения обычного предупреждения о внешнем контенте, что потенциально может раскрыть информацию для аутентификации, которая может быть использована для выдачи себя за другого пользователя. Для эксплуатации уязвимости требуется сетевое соединение и взаимодействие с пользователем Этот тип уязвимости известен как уязвимость раскрытия учетных данных NTLM, при которой вредоносное вложение при открытии приводит к подключению Windows к сетевой папке, контролируемой злоумышленником. При подключении Windows может автоматически попытаться аутентифицироваться на удаленном сервере, раскрывая хэш аутентификации пользователя NTLMv2, который затем может быть перехвачен злоумышленником и потенциально взломан в автономном режиме. Полученные учетные данные затем могут быть использованы для несанкционированного доступа к корпоративным аккаунтам. Аналогичные уязвимости уже использовались в прошлом, как правило, посредством вредоносных вложений, рассылаемых в рамках фишинговых кампаний. Полное описанием каждой уязвимости и затронутых ею систем - здесь.

🍏Apple закрыла доступ посторонних к группам iMessage на фоне неопределённости вокруг патча для обхода песочницы iOS Выпущенные 9 ноября 2026 года обновления iOS и iPadOS 27.2.1, а также iOS и iPadOS 26.7.3 устранили соответственно девять и восемь уязвимостей, причём две ошибки в компоненте Messages закрыты одновременно в macOS Golden Gate 27.2.1, macOS Tahoe 26.7.3, macOS Sequoia 15.8.3, watchOS 27.2.1 и visionOS 27.2.1: ▪️Проблема авторизации CVE-2026-113961 могла позволить удалённому злоумышленнику присоединиться к групповому чату iMessage и получать сообщения, поэтому разработчики улучшили процедуру проверки. ▪️Уязвимость CVE-2026-113960 могла открыть добавленному в группу iMessage пользователю доступ к сообщениям, отправленным до его вступления, и была устранена удалением уязвимого кода.ого кода. В этих ноябрьских бюллетенях Apple никак не упомянут независимый обход песочницы worse_query, чей PoC-код разработчик под псевдонимом forcequitOS опубликовал на GitHub с заявленной поддержкой iOS с 26.0 по 26.7.2 и iOS 27.2, а 10 ноября отдельно сообщил в X, что уязвимость не исправлена ни в iOS 27.2.1, ни в iOS 27.3 beta 1 (официального комментария Apple и данных о проверке iOS 26.7.3 пока нет). Используя этот метод и сохранённое при подписи разрешение App Group, сторонний файловый менеджер WQ Files, устанавливаемый вне App Store, открывает доступ к контейнерам данных других приложений без джейлбрейка и эксплойта ядра. Реагируя на появление эксплойта, 10 ноября 2026 года криптобиржа Binance опубликовала в соцсети X предупреждение для пользователей iOS: «Уязвимость (worse_query), затрагивающая iOS 26.7.1, 27.0.1 и 27.2, позволяет вредоносным приложениям читать локальные файлы других приложений, ставя под угрозу сид-фразы [фразы восстановления], закрытые ключи и учётные данные для входа во всей экосистеме. Это проблема уровня самой iOS, характерная не только для Binance» — говорится в предупреждении криптобиржи Binance. Перечисленные биржей три версии совпадают со списком протестированных сборок в примечаниях к релизам WQ Files, а в самом посте Binance призвала удалить приложения из недоверенных источников (включая установленные в обход магазина или вручную подписанные IPA-файлы), обновить iOS и все программы до актуальных официальных версий, при подозрении же на взлом перевести средства на новый кошелёк, созданный на чистом устройстве, и сбросить все активные сессии входа. Как позже пояснил представитель Binance изданию Crypto.news, подтверждённых случаев доступа к криптокошелькам или кражи средств через worse_query компания не зафиксировала, а реальный риск раскрытия секретов возникает тогда, когда приложение хранит их в доступных локальных файлах открытым или восстановимым способом. Сам опубликованный PoC открывает доступ к файловым контейнерам приложений и отдельным системным каталогам на iOS 27, но не демонстрирует извлечения защищённых записей из связки ключей Keychain или обхода сопроцессора Secure Enclave, при этом о возможности эксплуатации уязвимости через App Store ни биржа, ни автор эксплойта не заявляли. ✋ @Russian_OSINT

Франция обвинила Иран в кибератаке, в результате которой перегрелись холодильники в супермаркете. Иранского посла вызвали на ковер и завили о намерении добиваться введения европейских санкций против лиц, ответственных за нападение. В результате атаки 12 октября температура в холодильниках резко подскочила, затронув около 700 из 10 000 супермаркетов страны. В своем заявлении прокуратура Парижа сообщила, что им удалось установить причастность иранской военизированной организации «Революционная гвардия» к масштабной кибератаке. МИД Франции осудило нападение «самым решительным образом», а министр Жан-Ноэль Барро, выступая в кулуарах переговоров G7 в Париже, заявил, что иранского посла вызывают, чтобы «решительно выразить протест против этого крайне серьезного акта». ЧИновник назвали атаку беспрецедентной по масштабу, назвав ее первой крупномасштабной кибератакой, направленной на саботаж на территории Франции, представляющей собой серьезную угрозу национальной безопасности, обещая не оставить ее без ответа. Прокурор Парижа Лора Беккуо заявила в своем заявлении, что в понедельник было начато официальное судебное расследование по подозрению в организованной киберпреступности с отягчающим обстоятельством - «совершении в интересах иностранной державы. Французское национальное агентство по кибербезопасности ANSSI приписало атаку группе Шахид Кавех, которую называют киберподразделением, связанным с Корпусом стражей исламской революции Ирана. Расследование нацелено на лидера группы, а также двух его заместителей, а также иных лиц, которые могут быть идентифицированы в связи с этим делом. По словам Беккуо, следователи установили, что нападавшие использовали персидский язык и IP, связанные с устройствами, расположенными в Иране, добавив, что прокуратура Парижа будет добивается выдачи международных ордеров на арест. Напомним, ранним утром 12 октября злоумышленники дистанционно взяли под контроль холодильные системы сотен супермаркетов и независимых магазинов по всей Франции. Температура около шести часов держалась на отметке 50 градусов, что вынудило магазины избавляться от свежих и замороженных продуктов питания. Сеть супермаркетов Intermarché сообщила об убытках в размере «десятков миллионов евро» за один день. На прошлой неделе во Франции произошла еще одна кибератака на несколько банков крови, целью которой было повышение температуры до чрезвычайно высоких значений, но она была предотвращена до того, как смогла нанести какой-либо ущерб. Также на прошлой неделе супермаркеты в Швеции, Бельгии, Люксембурге, Ирландии и Эстонии также столкнулись с проблемами в работе морозильных и холодильных камер, которые, по всей видимости, были вызваны кибератаками. ANSSI заявило, что ей удалось связать некоторые другие кибератаки, совершенные в отношении Франции с 2020 года, с другой группой под названием «Шахид Шустари», также связанной с КСИР. В частности, к ним относятся атаки на газету Чарли Хебдо в 2023 году и на организацию Олимпийских игр в Париже в 2024 году. Так что продолжаем следить. По всей видимости, сейчас по всему ЕС начнут все валить на иранцев. Но будем посмотреть.

N-able отключила N-central после того, как исследователь раскрыл сразу более 30 0-day, которые потенциальные злоумышленники могут использовать для удалённого выполнения кода, кражи учётных данных и создания учётных записей администратора. В понедельник в качестве предосторожности N-able отключила размещенные на хостинге среды N-central, пока предпринимаются необходимые действия для обеспечения безопасности среды и внедрения соответствующих мер по устранению неполадок. Несмотря на то, что N-central и связанные с ним сервисы остаются недоступными, N-able заявляет о прогрессе в проверке обнаруженных уязвимостей и создании исправления, которое должно быть выпущено примерно в полдень 10 ноября. Компания также отметила, что локальные развертывания N-central следует также держать в автономном режиме до выхода обновлений. N-able также сообщает, что у нее нет доказательств того, что эти уязвимости были использованы против ее сред N-central. Все 0-day были опубликованы на GitHub в воскресенье исследователем Шоном Бейлсом и пока не получили идентификаторов CVE. Бейлс назвал эти уязвимости Able2Shell. По словам исследователя, эти уязвимости могут быть использованы для RCE с правами доступа «nable» или root, для выполнения произвольных команд, создания несанкционированных административных учетных записей или утечки конфиденциальных данных. Кроме того, Бейлс описал четыре цепочки эксплойтов, которые также могут привести к удаленному выполнению кода с правами администратора при наличии права доступа «nable» или root. Исследователь опубликовал PoC, демонстрирующий каждую уязвимость, и, как сообщается, объяснил, что 0-day были опубликованы после того, как N-able не смогла устранить обнаруженные им ранее дефекты безопасности в другом продукте.

В результате атаки на цепочку поставок Qubole пострадало более десятка организаций, хакеры использовали скомпрометированные учетные данные Qubole IAM для кражи файлов клиентов, секретов, ключей, переменных среды и учетных данных. Межсистемные роли IAM являются стандартной практикой для SaaS-платформ, работающих в средах AWS клиентов. В процессе подключения клиенты создают роль для Qubole, и учетная запись AWS поставщика может взять на себя эту роль при необходимости, как правило, с помощью внешнего идентификатора (External ID). Утечка учетных данных Qubole позволила злоумышленнику занять эту позицию и получить доступ к данным из сред AWS более чем десятка компаний. Причем роли оставались неактивными до начала кампании 14 октября. Они использовались до 26 октября для сканирования ресурсов, сбора секретов и конфигураций, а также для доступа к данным. По данным Sentra, атаки осуществлялись с арендованного сервера OVH и VPN-сети Mullvad, и ни одна из наблюдаемых активностей не исходила из сети Qubole. Злоумышленник использовал имена сессий ролей, которые следовали единообразному формату: префикс quiam-, за которым следовал суффикс, описывающий выполняемые действия. Это включает в себя такие имена сессий, как quiam-enum и quiam-scope-full. После сканирования данных злоумышленники извлекли секреты из распространенных мест хранения AWS, а затем использовали TruffleHog для проверки учетных данных. Далее злоумышленники похитили данные из S3-хранилищ жертв. Как отмечает Wiz, по всей видимости, злоумышленник действовал оппортунистически. Вместо того чтобы искать конкретные данные, он считывал информацию из любых доступных каждому пользователю хранилища, в некоторых случаях загружая целые хранилища за один сеанс. Wiz также обнаружила ISO-файл, предназначенный для удаленной загрузки на компьютеры жертв с целью сбора данных, но доказательств его использования у нее нет. Исследователи не выявили никаких связей между этой кампанией и другими публично раскрытыми. Целенаправленные атаки и кража данных, по всей видимости, носят оппортунистический характер и не соответствуют типичным приоритетам APT. Однако в Wiz пока нет прямой информации о мотивах злоумышленника или о том, как он может использовать украденные данные. Вместе с тем, компания также обнаружила отдельную кампанию, связанную с интеграцией Qubole, которая действовала с 8 по 11 октября. В ходе нее принадлежащие клиентам ключи доступа к AWS проверялись в средах жертв, а в некоторых случаях использовались для компрометации.

Barracuda Networks предупреждает, что злоумышленники начали использовать две недавно исправленные уязвимости в шлюзе Email Security Gateway (ESG), которые позволяют им выполнять команды с правами root. Причем неделю назад Barracuda выпустила обновления для устранения двух уязвимостей (CVE-2026-116606 и CVE-2026-111560). Первая проблема связана с уязвимостью аутентификации в шлюзе безопасности электронной почты (ESG), которую можно использовать для изменения глобальной конфигурации устройства, а вторая позволяет неаутентифицированным злоумышленникам внедрять команды операционной системы, которые выполняются с правами root. Barracuda также заявляет, что для успешных атак необходим доступ к административному пользовательскому интерфейсу (Admin UI) целевых устройств, посоветовав клиентам ограничить доступ к доверенным внутренним сетям и использовать соответствующие средства контроля доступа к сети для минимизации рисков. В понедельник вечером Barracuda обновила первоначальное предупреждение, сообщив администраторам, что две уязвимости уже активно используются в атаках, направленных на ограниченное число клиентов. Три года назад Barracuda также исправляла уязвимость в шлюзе безопасности электронной почты (CVE-2023-7102), которую хакерская группа UNC4841 использовала в атаках 0-day для выполнения произвольного кода. В том же году UNC4841 использовала еще одну уязвимость нулевого дня (CVE-2023-2868) для атаки на устройства Barracuda ESG в рамках серии кибершпионских атак. Позже уязвимость использовалась как 0-day как минимум в течение семи месяцев, начиная с октября 2022 года, для распространения ранее неизвестных вредоносных программ SeaSpy и Saltwater и кражи данных с скомпрометированных устройств. По данным Mandiant, занимающейся кибербезопасностью, почти треть систем, взломанных в ходе кампании 2023 года, принадлежала государственным учреждениям, причем большинство из них были взломаны в период с октября по декабрь 2022 года. Все ожидаемо, ведь основанная в 2003 году Barracuda имеет более 200 000 клиентов по всему миру, включая малые и средние предприятия, крупные корпорации и поставщиков управляемых услуг (MSP). Будем следить за новой кампанией.

Как оказалось, согласно обновленному заявлению Chainalysis, недавняя атака на ее системы и внутренние инструменты привела к утечке учетных данных и действующих токенов ВСЕХ клиентов. Chainalysis предоставляет инструменты анализа блокчейна для отслеживания криптовалютных транзакций и финансовых расследований преступлений, связанных с мошенничеством, ransomware и отмыванием денежных средств. В число ее клиентов входят правоохранительные органы, государственные учреждения, финансовые институты, страховые компании и криптовалютные компании по всему миру. В прошлую пятницу компания сообщила о том, что злоумышленники, используя инструменты ИИ, получили доступ к именам клиентов, адресам электронной почты, идентификаторам пользователей и должностным позициям в организации, применив «наступательные агентные методы». Причем изначально сообщалось, что последствия были ограниченными и утечка затронула только неконфиденциальные метаданные. Однако расследование установило, что в результате MITM-атаки были раскрыты имена пользователей, хэши паролей и активные токены всех клиентов. Тем не менее компания не обнаружила никаких доказательств того, что злоумышленники получили доступ к данным следственных графов или изменили хранилища данных об атрибуции в блокчейне. После обнаружения утечки паролей некоторых клиентов компания в качестве меры предосторожности заблокировала учетные записи Chainalysis и попросила пользователей сбросить пароли перед повторным входом в систему. Теперь, после обнаружения дальнейшей аномальной активности, Chainalysis отключила портал входа в систему, а также Reactor и Data Solutions, пользовательский интерфейс и API системы Know-Your-Transaction (KYT) и продукты для проверки адресов. Для предотвращения доступа злоумышленников к затронутым учетным записям, Chainalysis попросила клиентов предоставить доверенные IP-адреса, чтобы они могли восстановить доступ к порталу авторизации после его возобновления работы и сбросить свои учетные данные. После предоставления доступа всем пользователям потребуется сбросить свои пароли и, при необходимости, обновить ключи API перед регистрацией транзакций. Продолжаем следить, глядишь, что-то новое обнаружится.

Исследователи Лаборатории Касперского выявили фишинговую кампанию ранее неизвестной киберпреступной группировки, которую назвали Arra Ghouls (также упоминается как Mimbrob). Изначально она специализировалась на атаках на частных пользователей: с помощью инфостилеров и банковских троянцев осуществляла эксфильтрацию данных и монетизировала их. Однако с начала апреля 2026 группировка провела серию атак на организации в России и Беларуси. Под удар попали 18 организаций в сферах телекоммуникаций, промышленного фармпроизводства, IT, коммерции и финансов. Для реализации своих кампаний злоумышленники использовали цепочку собственных средств доставки вредоносной нагрузки, несколько RAT на Go, а также фреймворки с открытым исходным кодом: Havoc, RootRat и Metasploit. Злоумышленники использовали заранее подготовленные домены-двойники, а также скомпрометированные почтовые сервера, с которых рассылали фишинговые письма с RAR‑архивами. Темы письма варьировались от «Cудебное_разбирательство» до «Poverka2026». Первым каналом были фишинговые письма, которые рассылались с заранее подготовленных доменов, имитирующих адреса легитимных организаций: npkarns[.]ru, urnpo[.]ru, klirnov[.]ru, vniirn[.]ru. Внутри архива содержались переименованный легитимный файл браузера Chromium и DLL-дроппер browser_elf.dll, расположенный в том же каталоге. Вторым каналом распространения стали фишинговые сайты, на которых пользователям предлагали скачать MSI-дроппер c именем DronnerInstaller.msi. Внутри этого файла находились приложение-приманка на Flutter и такой же DLL-дроппер. Дроппер содержит несколько экспортируемых функций, которые ссылаются на один и тот же адрес, ведущий прямо к основному вредоносному функционалу. После передачи управления вредонос проверяет языковые и региональные настройки клавиатуры тремя способами, сравнивая со списком целевых стран, прежде всего СНГ. Затем наступает второй этап - анализ прав доступа и попытка их повышения. Внутри вредоноса в зашифрованном XOR виде хранятся строки с именами функций WinAPI. Затем выполняется основная логика дроппера. Для закрепления на устройстве жертвы создается запланированная задача через schtasks.exe. Вредонос запускается по одной из двух схем: с интервалом в минутах или в днях. Затем управление переходит к браузеру Chromium, который запускает DLL-загрузчик. Злоумышленники открывают конечные точки только на время проведения атаки, что также затрудняет поиск и анализ финального вредоноса. Нагрузка передается в зашифрованном виде как массив бинарных данных. Чаще всего злоумышленники передавали RAT с модульной архитектурой на Go - Arra RAT. В некоторых случаях использовался дополнительный промежуточный загрузчик yandexupdatesvc.exe, скачиваемый с командного сервера, который загружал 7-Zip и архив с репозитория GitHub, из которого также разворачивался Arra RAT. Группировка активно использует TCP-туннели с шифрованием трафика - такой подход позволяет избежать классического перехвата через MitM-прокси, характерного для HTTP/S-коммуникаций с командного сервера. При этом Arra RAT служит лишь точкой входа в инфраструктуру, а основным инструментом для взаимодействия с устройством жертвы является Havoc. Все сообщения при взаимодействии с С2 передаются в зашифрованном виде с использованием AES-GCM. В ходе анализа инфраструктуры атакующих были выявлены дополнительные инструменты. Кроме агента фреймворка Havoc также было замечено использование агентов семейства RootRat. В инфраструктуре также был выявлен модуль обратной оболочки (reverse shell) windows/reverse_tcp из фреймворка Metasploit. Хронология развития вредоносной нагрузки в кампаниях Arra RAT показывает быстрый рост ее функциональности. Первая версия, обнаруженная в начале апреля 2026 года, поддерживала только базовый опрос C2 и простой набор команд. К маю‑июню в образец были добавлены модули TCP‑туннеля, поддержка загрузки файлов и эксфильтрации данных.

Киберподполье приступило к активному использованию уязвимости SSHole для обхода аутентификации в OpenSSH. Пока что эти попытки эксплуатации связаны с ботнетами и криптомайнерами, но ожидается, что и другие злоумышленники последуют их примеру. Уязвимость отслеживаемая как CVE-2026-123158 и позволяет злоумышленникам получать доступ к определенным учетным записям, указав любой пароль длиной от 257 до 1024 символов. Успешная эксплуатация уязвимости может позволить получить доступ к таким учетным записям, как root, которые никогда не должны принимать пароль. В некоторых дистрибутивах Linux, использующих реализацию musl libc с отключенным модулем подключаемой аутентификации (PAM), таких как Alpine, Buildroot, OpenWrt, Yocto и др., эти учетные записи принимают пароль. Это происходит потому, что сервер OpenSSH (sshd) проверяет предоставленный пароль, хешируя его и сравнивая с сохраненным хешем пароля, связанным с именем пользователя. Когда у учетной записи отсутствует хеш пароля, как, например, у учетной записи root в Alpine (где поле имеет вид ‘*’), sshd заимствует соль из хеша другой учетной записи для обработки попытки входа. Для паролей длиннее 256 байт функция crypt() библиотеки musl завершается с ошибкой и вместо возврата NULL возвращает ‘*’. Поскольку это совпадает с ‘*’, хранящимся для целевой учетной записи, sshd считает пароль правильным. В Alpine к затронутым учетным записям относятся root, любой пользователь, имеющий только ключ и созданный с помощью adduser без пароля, пользователь Alpine в официальных образах tiny-cloud, а также любой пользователь, полученный из службы каталогов через musl-nscd. На прошлой неделе OpenSSH в срочном порядке выпустила исправления для этой ошибки, а Alpine настоятельно призвала пользователей установить их и как можно скорее перезапустить sshd. И уже в выходные WatchTowr и Previdian выпустили свои предупреждения о том, что хакеры начали использовать уязвимость SSHole в реальных условиях. По данным WatchTowr, пока её используют только ботнеты и майнеры криптовалюты. Телеметрия Previdian идентифицировала 20 попыток эксплуатации, 13 уникальных IP злоумышленников из 9 стран, нацеленных на CVE-2026-123158. Первое обнаружение 6 ноября 2026 г., последнее - 8 ноября 2026 г. Причем о детектировании потенциальной эксплуатации также сообщали GreyNoise и Defused. Пользователям рекомендуется как можно скорее обновить OpenSSH до версии 10.6p2. В качестве меры предосторожности они могут отключить аутентификацию по паролю (по умолчанию включена в OpenSSH) или отключить SSH.

QNAP предупреждает пользователей о необходимости обновления Plex Media Server до последней версии, доступной в QNAP App Center, поскольку хакеры активно нацеливаются на Plex2Shell. Обращение к клиентам обусловлено поступлением в адрес поставщика многочисленных сообщений о предполагаемых взломах Plex Media Server на NAS-серверах. Plex2Shell - это цепочка из четырех уязвимостей в Plex Media Server, которые отслеживаются как CVE-2026-96652, CVE-2026-96654, CVE-2026-96655 и CVE-2026-96656. Исследователь Зак Мейн обнаружил и сообщил о проблемах в Plex 27 июля. Эксплуатация началась вскоре после того, как полные технические подробности стали доступны общественности 16 октября. 20 октября CISA добавила все четыре уязвимости в свой каталог KEV, рекомендуя обновить Plex до версии 1.43.3.10861 или более поздней для защиты от атак Plex2Shell, присвоив им максимальный приоритет. NAS от QNAP - по сути, это специализированные компьютеры со встроенной памятью, позволяющие пользователям хранить, получать доступ и обмениваться файлами по сети. Обычно они используются для резервного копирования компьютеров и хранения медиафайлов. Пользователи также могут расширить возможности своих устройств, установив приложения из QNAP App Center, такие как Plex Media Server, который позволяет транслировать фильмы, телешоу и музыку непосредственно с сетевых накопителей. QNAP PSIRT подтвердила, что уязвимости существуют только в Plex Media Server, а QTS, QuTS hero и другие операционные системы QNAP сами по себе не затронуты. При этом QNAP заявляет, что пользователям следует считать свои NAS и весь личный контент скомпрометированными, если они используют уязвимый сервер Plex, доступный в открытом доступе в интернете. Производитель предупредил, что обновление не удаляет вредоносные ПО, уже установленные злоумышленниками на устройстве, рекомендуя: проверить наличие IOCs, указанных в бюллетене, выполнить чистую переустановку ОС (с помощью QTS или QuTS Hero), а затем сбросить учетные данные Plex и NAS. Пользователям, которым не требуется удаленный доступ к Plex, следует отключить соответствующие функции и прекратить переадресацию порта 32400. Тем, кому необходим удаленный доступ, рекомендуется подключаться через VPN. QNAP также выпустила подробное руководство по устранению проблем, предлагая помимо этого возможность проведения анализа логов на предмет выявления потенциального взлома, которые пользователи могут отправить через портал технической поддержки.

Продолжаем отслеживать наиболее трендовые угрозы, отметим следующие: 1. Недавно обнаруженная уязвимость в OpenSSH и musl, получившая название sshole, позволяет злоумышленникам входить в некоторые учетные записи Alpine Linux и другие учетные записи Linux на основе musl, настроенные на блокировку аутентификации по паролю, просто введя пароль слишком большого размера. Уязвимость затрагивает только серверы OpenSSH, работающие на дистрибутивах Linux, использующих библиотеку musl на языке C, включая Alpine Linux, OpenWrt, Buildroot и Yocto, при определенных настройках аутентификации. Исследователь Озгун Культекин обнаружил и опубликовал подробности об уязвимости. Недостаток существовал с 2016 года и связан с тем, как OpenSSH обрабатывает ошибки проверки паролей в системах, использующих библиотеку musl на языке C. 2. RT-Solar обнаружила новую технику под названием AppTrickster, которая использует уязвимость AppLocker для предотвращения запуска EDR и других инструментов безопасности. 3. Исследователи Endor Labs обнаружили уязвимость в Docker Sandboxes, которая позволяет агентам ИИ выходить за пределы установленных границ и получать доступ к другим данным. 4. Bitdefender раскрыла метод создания установочных пакетов приложений Android, который может привести к зацикливанию устройства. Основная причина кроется в том, как Android обрабатывает данные, хранящиеся внутри ZIP-архива установочного пакета приложения. Некорректные данные могут заставить ОС Android сопоставить приложение с областью памяти, которую она не выделяла, и вызвать бесконечный цикл сбоев. Цикл сбоев также запускается после перезагрузки телефона и даже при переводе устройства в безопасный режим. 5. Zyxel выпустила обновления для устранения активно используемой 0-day в коммутаторах серии GS1900. Она использовалась с июня. Злоумышленники применили её для развертывания бэкдора JITTERLY и руткита SIXZUT почти на 1000 устройствах. По данным Binarly, первоначальное обновление не устранило CVE-2026-107441, которая продолжала работать. Она была частью более масштабной кампании, связанной с группой Red Heron, которая нацелена на множество других веб-технологий для кражи данных. 6. Step Security опубликовала отчет об ошибке в установщике APT, которая может позволить злоумышленникам, использующим атаку «человек посередине», получить доступ с правами root в системах Debian и Ubuntu. 7. SonicWall не будет выпускать исправления для двух уязвимостей в глобальной платформе управления межсетевыми экранами Global Management System (GMS). Они позволяют злоумышленникам читать файлы и выполнять SQL-инъекции. SonicWall прекратила поддержку этой платформы в июне 2025 года. 8. Злоумышленники используют недавно исправленную уязвимость состояния гонки в популярной CMS WordPress. По данным Picus Security, ошибка позволяет злоумышленнику заменить конфигурационный файл веб-сайта в процессе обновления. Она была исправлена на прошлой неделе. CISA добавила её в базу данных KEV на этой неделе. 9. Китайская QiAnXin обнаружила пассивный бэкдор, предназначенный для работы внутри Control Web Panel, бесплатной панели управления серверами с открытым исходным кодом для CentOS и других дистрибутивов Linux. 10. Крупнейшие дистрибутивы Linux, такие как Debian, Red Hat и SUSE, выпустили исправления для RCE-атаки (CVE-2026-98432) в сетевом стеке TCP ядра Linux. Anthropic обнаружила ошибку в прошлом месяце, но исправления начали распространяться только сейчас. Уязвимость затрагивает все версии ядра, выпущенные за последнее десятилетие, начиная с версии 4.4. Canonical все еще работает над исправлением для Ubuntu. 11. OpenAI исправила ошибку, которая могла позволить злоумышленникам обойти пользовательскую песочницу ChatGPT и захватить другие аккаунты.

Исследователи Positive Technologies продолжают серию отчетных материалов, на этот раз подвели итоги проектов по расследованию инцидентов. В отчете подведены итоги работы PT ESC IR за период с 4 квартала 2025-го по 3 квартал 2026 года. В его основе - более 140 проектов по расследованию инцидентов и ретроспективному анализу в России, а также в Латинской Америке и на Ближнем Востоке. Что нового в этом отчете: - Новые группировки, впервые обнаруженные PT ESC IR: APT10051, Stingy Basilisk и Chewbacca. - Атаки через TrueConf, Zimbra и ViPNet. - Данные по результатам ретроспективного анализа (Compromise Assessment). - Информация по источникам данных для DFIR. Из главного: - Приложения на периметре по-прежнему являются главными исходными векторами проникновения. В 50,8% инцидентов исходной точкой проникновения были веб-приложения, опубликованные на периметре. Поверхность атаки расширяется: к ней добавились почтовые серверы Zimbra и сервер видеоконференцсвязи TrueConf. - Доля доступных из интернета служб, не относящихся к веб-сервисам, выросла до 14,9%, а доля доверительных отношений, включая компрометацию через защищенную сеть ViPNet, снизилась до 14,9% (было 28%). - В 49,3% компаний выявлены следы присутствия известных APT-группировок - всего их идентифицировано 17. Еще в 16,5% компаний выявлены следы публично не идентифицированных группировок. - Доля проектов, в которых злоумышленникам удалось нарушить внутренние бизнес-процессы из-за недоступности части инфраструктуры или критически важного сервиса, в том числе из-за шифрования и уничтожения данных, - 54,1%. В 34,2% компаний выявлены злоумышленники категории Cybercrime, нацеленные на шифрование и уничтожение данных. - Причины, поспособствовавшие успеху развития атак, базовые и не меняются со временем. Главные из них - устаревшие версии ОС и ПО без выстроенного процесса обновления (30%), отсутствие 2Fa (25%), недостаточная сегментация сети (24%). - Отдельная и стабильно пользующаяся спросом категория работ - ретроспективный анализ: проверка инфраструктуры на присутствие следов прошлых или текущих инцидентов. За отчетный период на него пришлась пятая часть проектов. - Скорость реагирования PT остается высокой. Медианное время перевода инцидента в контролируемую фазу составляет двое суток, а медианное время от начала расследования до завершения работ по проекту, связанных с расследованием (TTR), - 4,5 дня против 6,5 дня в предыдущем отчетном периоде. - При этом по сравнению с предыдущим отчетным периодом злоумышленники дольше оставались незамеченными: медианный TTD - 14 дней (было 9).