SecAtor

Новая вредоносная ПО для Android под названием Manic нацелена на пользователей в ряда европейских стран и имеет резервный механизм для слива данных через находящиеся поблизости зараженные устройства. Вредоносная ПО активна как минимум с февраля и сочетает в себе шпионское ПО, возможности банковского мошенничества и удаленного управления. Оснгвеая направленность программы - охватить как минимум 169 банковских, электронных удостоверений личности, платежных систем, криптокошельков, мессенджеров и приложений для аутентификации/двухфакторной аутентификации. Исследователи ThreatFabric проанализировали Manic, обнаружив задействование ей наложений на цифровые клавиатуры легитимных приложений для перехвата нажатий жертв и воспроизведения их через функцию «спецвозможностей» Android. При этом легитимные приложения продолжали нормально функционировать. Получив разрешения на доступ к функциям спецвозможностей и уведомлениям, вредоносная ПО перехватывает PIN/пароли блокировки, уведомления и SMS, собирает файлы и геолоакции, отслеживает экран и обеспечивает удаленное управление операторам через сеансы WebRTC. Полученная информация классифицируется по типу, что делает данные более доступными для использования разработчиками вредоносного ПО. Manic фактически использует свою службу спецвозможностей в качестве кейлоггера пользовательского интерфейса, классифицирует захваченный текст перед записью, различая ввод с экрана блокировки, варианты фраз восстановления, четырех- и шестизначные SMS-коды, пароли, длинные сообщения, данные для входа в электронную почту и обычный текст. Авторы вредоносного ПО внедрили необычный механизм кражи данных, который срабатывает, когда скомпрометированное устройство не может связаться с сервером C2. Исследователи отмечают, что данные шифруются и передаются через находящиеся поблизости скомпрометированные устройства по протоколам Wi-Fi Direct или Bluetooth. Сначала Manic пытается использовать уже установленный Wi-Fi Direct-соединение, а затем запрашивает у Bluetooth и BLE-соединений информацию о наличии у них подключения к интернету. При необходимости вредоносная ПО может также использовать многошаговые маршруты, при этом для вновь добавленных в очередь элементов по умолчанию предусмотрено максимум четыре ретрансляционных перехода. Этот механизм также позволяет осуществлять слив данных даже с устройств, находящихся в автономном режиме, при условии, что другое зараженное устройство находится в зоне действия Wi-Fi или Bluetooth. По данным ThreatFabric, вредоносная ПО нацелена на приложения, используемые в Центральной и Западной Европе, включая Великобританию, а также в России. Однако, судя по всему, основной фокус - на банковских и государственных электронных удостоверениях личности в сегменты Украины, а также глобальных финтех- и криптовалютных сервисах. Хотя точный вектор заражения остается неизвестным, в конце мая исследователи заметили использование оболочки, которая доставляла основную заразу жертвам, а затем в последующие месяцы произошло расширение существующей инфраструктуры. В июле в ходе атак была обнаружена обновленная оболочка с более строгими проверками на устойчивость к анализу и загрузкой DEX-кода в память, а также были выпущены новая панель и API.

• Держите несколько полезных ресурсов c актуальными и интересными отчетами по информационной безопасности: ➡Annual Security Reports - репозитоиий, который включает в себя ежегодные отчеты по кибербезопасности от крупнейших ИТ компаний. ➡Phishing campaigns - этот репо содержит в себе примеры фишинговых писем, которые направлялись APT-группировками в различные компании по всему миру. Помимо примеров, репо включает в себя презентации с разбором и описанием фишинговых атак. В общем и целом, материал весьма интересный, особенно если занимаетесь исследованиями и изучаете различные схемы: ➡Hackerone Reports - объемный репозиторий, который включает в себя топ отчеты HackerOne. Поможет вам узнать много нового и полезного (варианты эксплуатации различных уязвимостей, векторы атак и т.д.). S.E. ▪️ infosec.work ▪️ VT

Исследователи F6 предлагают GOFFEE навынос, представив объемный разбор новых TTPs группировки в результате исследования атаки кибершпионов на одну из российских компаний. GOFFEE специализируется на проведении атак с целью шпионажа. Характер используемых инструментов и действий атакующих указывает на их высокий уровень технической и организационной подготовки. Для получения первоначального доступа атакующие активно применяют методы социальной инженерии. В качестве вредоносных вложений выступают архивы с документами‑приманками. В своих атаках GOFFEE пользуются инструментами собственной разработки, часть из которых основана на публичных проектах. Однако злоумышленники активно применяют техники обфускации, усложняющие обнаружение и криминалистический анализ. В качестве полезной нагрузки атакующие используют агенты Mythic и SSH‑бэкдоры (ElfDoor/BindSycler и SWATSSHD). При обнаружении противодействия и удалении бэкдоров GOFFEE загружают новые, которые не детектируются прежними методами. Для закрепления злоумышленники создают системные службы и модифицируют различные параметры реестра. При этом перемещение по сети осуществляется как встроенными средствами операционных систем, так и сторонними утилитами, позволяющими удаленно выполнять команды. Для сокрытия своих инструментов участники GOFFEE активно используют различные техники маскировки и умело комбинируют их. Большинство служб, обеспечивающих запуск бэкдоров, мимикрируют под легитимные аналоги с других систем (модули прикладного ПО, драйверы). А у самих файлов атакующие подменяют временные метки, опираясь на свойства других файлов в системе. Отличительная черта группировки - пристальное внимание к действиям администраторов и сотрудников ИБ‑подразделений в скомпрометированной инфраструктуре. Это позволяет им оперативно модифицировать инструменты для обхода правил детектирования и мимикрировать под легитимную активность. В одном из случаев атакующие заметили использование администраторами сети командного сценария для настройки рабочих станций. Злоумышленники заимствовали имя и способ запуска сценария и применяли их для распространения бэкдоров по сети. GOFFEE обладают большой распределенной инфраструктурой, состоящей из множества доменов. Это позволяет им использовать уникальные командные центры (C2) для большинства своих бэкдоров, что усложняет их обнаружение и блокирование. Подробный анализ атаки, разбор арсенала и IOCs - в отчете.

Исследователи Positive Technologies раскрыли новый штамм шпионского ПО для Android, получившего название DragonDoll, которое распространяется с помощью фейковых пакетов обновления Chrome и нацелено на кражу данных из мессенджеров. По данным Positive Technologies, атакам DragonDoll подверглись пользователи устройств на базе Android из более чем 26 стран, включая Россию. Вредоносное ПО маскируется под обновление браузера Google Chrome. После установки программы хакеры могут отслеживать, что происходит на устройстве, и управлять им удаленно, программа позволяет включать и выключать экран, фиксировать нажатия, делать скриншоты и читать сообщения. Позитивы впервые обнаружили вредонос весной 2026 гоад при анализе кибератаки на пользователей из Саудовской Аравии с использованием неизвестного ранее APK-файла с именем Chrome.apk. За два месяца эксперты зафиксировали около 150 образцов вредоносной ПО. Схема заражения во всех случаях одинакова. Пользователь Google Chrome на Android попадает на поддельный сайт, оформленный под официальную страницу браузера, и получает предложение обновить Chrome. После нажатия на кнопку обновления на устройство устанавливается вредоносное ПО. Она запрашивает разрешение специальных возможностей, после чего в несколько этапов разворачивает на смартфоне финальный шпионский модуль, защищенный от анализа. После установки хакеры получают возможность отслеживать происходящее на устройстве и управлять им удаленно - включать и выключать экран, фиксировать нажатия, делать скриншоты и читать сообщения. Кроме того, DragonDoll умеет незаметно накладывать поверх настоящих приложений фейковые окна интерфейса и перехватывать вводимые пользователем данные. Таким образом злоумышленники получают пароли и PIN-коды. Функционал программы также позволяет считывать списки чатов и контактов в мессенджерах, в частности в Telegram и WhatsApp, а также текст и время сообщений прямо с экрана. DragonDoll также способен перехватывать содержимое всплывающих уведомлений в Telegram, а также переписку в других приложениях, включая Viber. Троян путем копирования пылесосит фактически все, что видно на экране у пользователя-жертвы. Собранные данные шифруются и отправляются на сервер злоумышленников, размещенный на российском хостинге. Выявленные образцы адаптируется для атак на жертв из различных стран, включая Россию, Китай, Корею и некоторые страны MENA. Подробный технический разбор цепочки заражения, функциональности, особенностей работы и сетевого взаимодействия - в отчете.

Исследователи Hunt.io раскрыли подробности кампании CameraSwarm, в ходе которой с 17 июня по 22 июля 2026 года было скомпрометировано более 14 530 устройств Dahua на Украине и в России. Операция была реконструирована на основе открытого рабочего каталога размером 407 МБ, содержащего 2616 файлов в 234 подкаталогах, включая инструменты, журналы, историю командной оболочки и записи кампаний. В рамках CameraSwarm 1923 камеры были настроены с постоянной учетной записью, а доступ к 283 из них осуществлялся через P2P-канал. По данным Hunt.io, общее число атак, превышающее 14 530, обусловлено тремя различными способами атаки: - Брут учетных данных: 12 324 уникальных IP-адреса в 13 229 записях кампаний. - Обход аутентификации: доступ к 1923 камерам был получен с использованием CVE-2021-33044 и CVE-2021-33045, которые, по данным Hunt.io, также были настроены с использованием постоянной учетной записи. - P2P-ретранслятор: 283 камеры, идентифицированные по серийному номеру, включая устройства, расположенные за трансляцией сетевых адресов (NAT). Две уязвимости 2021 года связаны с обходом аутентификации в камерах Dahua и аналогичных продуктах. В рекомендациях Dahua им присвоена CVSS 8,1, а также указаны исправленные версии прошивки, в то время как NVD в настоящее время присваивает каждой из них рейтинг CVSS 9,8. Согласно первоначальному сообщению клиент типа NetKeyboard активирует уязвимость CVE-2021-33044 во время аутентификации, а CVE-2021-33045 связана с запросом на вход через локальную сеть с использованием адреса 127.0.0.1. Обе находятся в каталоге KEV. Нат текущий момент общедоступный репозиторий p2pwn остается доступным и подтверждает, что инструмент принимает серийные номера Dahua в качестве входных данных, проверяет CVE-2021-33044 и CVE-2021-33045 и содержит конфигурацию фиктивной учетной записи по умолчанию. В репозитории не подтверждаются данные Hunt.io о количестве затронутых камер (1923) и утверждение о том, что учетная запись сохраняется после сброса до заводских настроек на большинстве версий прошивки. Путь P2P отделен от двух уязвимостей, позволяющих обойти аутентификацию. В ходе предыдущего расследования инцидента лаборатория ITRES обнаружила, что в версиях прошивки, выпущенных до середины 2024 года, действительный серийный номер Dahua мог использоваться для установления пути ретрансляции Easy4IP до того, как подключенное устройство выполняло собственную проверку учетных данных, что позволяло устройству, находящемуся за NAT, стать доступным через инфраструктуру ретрансляции производителя. В демонстрационном репозитории dh-p2p также показано, что Dahua P2P определяет местоположение устройства через Easy4IPCloud, используя его серийный номер, и может установить туннель к камере или сетевому видеорегистратору. Успешное P2P-соединение может сделать устройство доступным за NAT, но для доступа всё равно может потребоваться аутентификация на уровне устройства. Hunt.io сообщила, что восстановленный оператором код показал, что в 89,4% случаев активные серийные номера возвращают открытый канал без аутентификации. Две CVE, связанные с восстановленными инструментами, не описывают поведение P2P. ITRES Labs охарактеризовала уязвимость, связанную с передачей серийных номеров, как проблему, не относящуюся к категории CVE, и заявила, что в ходе тестирования было установлено, что P2P-соединение было усилено в прошивке, выпущенной после середины 2024 года. Компания рекомендовала специалистам по защите от угроз отключать P2P-соединения, если это не требуется, ограничивать подключение Easy4IP там, где это необходимо, обновлять устройства, использовать надежные уникальные учетные данные, удалять неиспользуемые учетные записи и сегментировать системы видеонаблюдения.

Comcast продвигает технологию обнаружения движения на основе Wi-Fi в рамках своей новой платформы защиты дома Xfinity Shield, которая позволяет маршрутизаторам и беспроводным устройствам обнаруживать передвижения людей без использования камер или датчиков движения. Новая функция была анонсирована во вторник в рамках Xfinity Shield, нового пакета приложений, который объединяет функции кибербезопасности, физического мониторинга дома и обеспечения безопасности семьи через Xfinity WiFi и приложение Xfinity. Впервые о новом функционале отмечалось в публикации на Reddit от 21 августа 2024 года, где сообщалось о получении клиентом Xfinity электронного письма с информацией о функции WiFi Motion. В нем описывалась та же функциональность, что и в сегодняшнем объявлении, и утверждалось, что эта функция обнаруживает сбои в сигналах Wi-Fi между шлюзом и устройствами в сети и генерирует уведомления в приложении Xfinity. Функционал позволял обнаруживать движение настолько, что достаточно было поднять руку, чтобы переключить канал с помощью пульта дистанционного управления. В феврале WiFi NOW также сообщила, что Comcast предлагает услугу WiFi Motion «уже давно». WiFi Motion преобразует радиоканалы между шлюзом Xfinity Gateway и стационарными устройствами Wi-Fi в виртуальные датчики движения. Comcast заявляет, что система обнаруживает эти изменения в радиочастотных сигналах дома и использует их для определения факта движения. Затем клиенты будут получать уведомления через приложение Xfinity без необходимости установки камеры или датчика движения. При этом система не опредлеляет, кто именно перемещается, и не устанавливает их точное местоположение, а функция WiFi Motion является опциональной и отключена по умолчанию. Сама заявка на патент под названием «Методы, системы и устройства для обнаружения присутствия» была подана Comcast Cable Communications в сентябре 2023 года и опубликована в апреле 2025 года. В нем описывается использование стационарных сетевых устройств для обнаружения движения и анализа изменений таких характеристик, как беспроводные сигналы, с целью определения момента перемещения объекта или человека в пространстве. В патенте поясняется, что сигналы Wi-Fi могут распространяться по нескольким путям, отражаясь или рассеиваясь от стен, людей и других объектов. Движение изменяет эти пути и результирующий беспроводной сигнал, позволяя обнаруживать перемещение объекта в окружающей среде. В патенте Comcast упоминаются несколько более ранних патентов компании Cognitive Systems, связанных с обнаружением движения по Wi-Fi, включая технологию обнаружения движения при многократных беспроводных передачах и обнаружение движения в ячеистых сетях. Как впервые заметил TechCrunch, в документации Comcast по функции WiFi Motion говорится, что компания может раскрывать информацию, полученную с помощью этой функции, третьим сторонам «без дополнительного уведомления вас» в связи с расследованием или разбирательством правоохранительных органов, спором с участием Comcast или в соответствии с постановлением суда или повесткой. Кроме того, в документации компании не объясняется, какую информацию о движении по Wi-Fi хранит Comcast, как долго она ее хранит и что она может предоставить в ответ на соответствующий запрос. Так что в перспективе подобные услуги могут прийти и к нам. Но будем посмотреть.

Банда вымогателей Cl0p назвала имена более 40 жертв в рамках своей новой масштабной кампании PTC Windchill и FlexPLM, среди которых фигурируют такие крупные компании, как Shell, Philips, Fiserv, Zebra, Mindray и Largan Precision. Хакеры задействовали CVE-2026-12569, о которой стало известно в июне, когда CISA добавила её в свой каталог KEV, а поставщик предупредил о возможных атаках, направленных на неё. Уязвимость заключается в некорректной проверке входных данных, которая позволяет удалённому неаутентифицированному злоумышленнику выполнить произвольный код с помощью специально сформированных запросов. Использование этой уязвимости было ожидаемым, и, по сообщениям, полиция Германии предупреждала организации о готовящихся атаках. Стоит отметить, что CVE-2026-12569 - это первая в истории уязвимость Windchill, которая была использована злоумышленниками на практике. В конце июля представители ИБ-индустрии сообщили об использовании уязвимости в продукте PLM в атаках программы-вымогателя Cl0p. Операторы Cl0p использовали ее для создания веб-оболочек, предоставляющих им доступ к данным организаций, использующих Windchill. В свою очередь, ReliaQuest сообщила во вторник, что Cl0p применяет специально разработанный имплант, обеспечивающий «полную возможность кражи данных» без необходимости использования дополнительных инструментов. Веб-оболочка сопоставляет конфиденциальные данные хранилища, расшифровывает все учетные данные в хранилище ключей Windchill и включает в себя пользовательский загрузчик классов Java, который позволяет Clop выполнять любой дополнительный код внутри процесса приложения, расширяя возможности оболочки до неограниченного бэкдора для последующих действий, таких как горизонтальное перемещение, программы-вымогатели или обеспечение постоянного присутствия. Первоначально Cl0p указывала на своем сайте лишь частичные названия компаний, но 12 августа начала публиковать полные имена предполагаемых жертв. На сегодняшний день указано более 40 организаций, предположительно, ставших мишенью в кампании Windchill. Для каждой жертвы хакеры указывали тип и объем украденной информации. К похищенным данным относятся базы данных, файлы проектов, резервные копии, фотографии и другие графические файлы, инженерная документация, чертежи, схемы, журналы и другие корпоративные документы. По данным хакеров, объем украденной информации на одну организацию варьируется от 1 ГБ до нескольких терабайт. Взломанные файлы могут содержать конфиденциальную личную информацию и ценную интеллектуальную собственность, но большая их часть может представлять небольшую ценность и уже находиться в открытом доступе, поэтому многие из организаций, ставших объектом атаки, вероятно, отказались платить выкуп. В список предполагаемых жертв входят нефтегазовый гигант Shell, технологический гигант Philips, финтех-гигант Fiserv, поставщик решений для корпоративной мобильности Zebra Technologies, производитель промышленного оборудования Ingersoll Rand, разработчик ПО для точек продаж Toast, мировой лидер в области медицинских технологий Mindray и ключевой поставщик объективов для камер Apple, компания Largan Precision. Компания GE также изначально была указана в списке, но впоследствии была удалена с сайта Cl0p, что может указывать на то, что компания согласилась заплатить выкуп или возобновила переговоры с хакерами. Такие компании, как Shell, Philips, Fiserv и GE, ранее также заявили, что им известно о поступивших сообщениях и они проводят расследование, но ни одна из них не подтвердила факт значительной утечки данных. Так что послужной список Cl0p, включающий Oracle E-Business Suite, MOVEit, Cleo и GoAnywhere, теперь пополнился новой позицией. Продолжаем следить.

Продолжаем отслеживать наиболее трендовые уязвимости и угрозы, сегодня выделим следующие: 1. Новая уязвимость позволяет получать доступ к данным процессоров Loongson, продаваемых на внутреннем китайском рынке. Уязвимость представляет собой ошибку в архитектуре аппаратного обеспечения процессора и не подлежит исправлению. Стоит отметить, что LoongLeak это не классическая атака по побочным каналам или атака с использованием временного выполнения, как старые уязвимости Meltdown и Spectre, обнаруженные в чипах Intel и AMD. 2. Исследователь разработал эксплойт для разблокировки закрытых областей процессоров AMD. Он состоит всего из одной инструкции ЦП и может предоставить доступ к ранее закрытым областям, таким как процессор безопасности платформы (PSP), режим управления системой (SMM) и каждый внутренний регистр процессора. Эксплойт затрагивает семейства AMD 15h и 16h, включая процессоры, выпущенные в период с 2011 по 2015 год. Наиболее широко используются семейства Puma и Jaguar, применяемые в консолях PlayStation 4 и Xbox One. AMD заявляет, что не будет исправлять ошибку, поскольку поддержка этих процессоров прекращена много лет назад. 3. Экслуатация 0-day в GeoServer произошел через несколько часов после публикации информации: хакеры начали использовать уязвимость спустя несколько часов после того, как подробности были обнародованы в Twitter. Эта уязвимость позволяет злоумышленникам запускать вредоносный код на серверах посредством SQL-инъекции. GeoServer выпустил патч в пятницу. 4. Хакеры активно используют недавно исправленную CVE-2026-58231 для доступа к онлайн-магазинам на базе SAP. Атаки нацелены на ошибку, исправленную в этом месяце в платформе SAP Commerce Cloud. Уязвимость позволяет злоумышленникам обходить аутентификацию в некоторых компонентах платформы и запускать вредоносный код. По данным Defused, атаки начались через три дня после того, как SAP исправила ошибку на прошлой неделе. [ Defused // ] 5. Уязвимость обхода пути позволяет злоумышленникам устанавливать веб-оболочки и запускать вредоносный код в интернет-магазинах OpenCart. Она может быть использована через вредоносные расширения, которые размещают файлы за пределами своих обычных папок в процессе установки. Исправление пока недоступно, поскольку исследователи не смогли связаться с OpenCart. 6. WatchTowr Labs полагает, что CVE-2026-8452 повреждения памяти в Citrix NetScaler, исправленная в прошлом месяце, также может быть использована для атак с удаленным выполнением кода. 7. VulnCheck опубликовала техническое описание CVE-2026-14863, уязвимости внедрения команд ОС, которая может привести к RCE в FileRun, коммерческом файловом менеджере с самостоятельным размещением. Эта уязвимость была исправлена в прошлом месяце. 8. Исследователи Positive Technologies представили августовский «В тренде VM», отметив в нем уязвимости ViPNet Client (BDU:2026–09885), ядра Microsoft Windows (CVE-2026-42980) и Microsoft SharePoint (CVE-2026-56164 и CVE-2026-58644).

SSD Secure Disclosure представила двухэтапную цепочку эксплойтов, позволяющую получить полный доступ к ядру Android на устройствах с прошивкой модема Unisoc через видеозвонок VoLTE, при этом производитель чипсета не выпустил исправление. Информационное сообщение от 17 августа является вторым этапом цепочки, начавшейся в марте 2026 года, когда SSD раскрыла возможность RCE в той же прошивке через некорректно сформированный SIP-видеозвонок. Исследование проводилось независимым исследователем под ником 0x50594d. Для завершения всей цепочки злоумышленнику необходимо контролировать частную сотовую сеть 4G, а жертве - ответить на входящий видеозвонок. Уязвимость, позволяющая повысить привилегии не имеет идентификатора CVE. Она кроется в прошивке модема, используемой как минимум тремя чипсетами Unisoc, в том числе T606, установленным в Motorola E13, T612, установленным в Realme C33, и T7250, установленным в Xiaomi Redmi A5. Unisoc, шанхайский производитель микросхем, ранее известный как Spreadtrum, поставляет компоненты таким брендам, как Motorola, Realme и Xiaomi, для устройств, продаваемых более чем в 140 странах. Исследователи подтвердили наличие уязвимости, позволяющей повысить привилегии, на устройстве Motorola E13 с патчем безопасности от февраля 2025 года и на Xiaomi Redmi A5 с патчем от января 2026 года. Для запуска всей цепочки атак сначала необходимо получить доступ к модему на уровне уязвимости RCE, обнаруженной в марте 2026 года, а также контролировать инфраструктуру VoLTE, управляемую злоумышленником, и найти жертву, которая ответит на входящий видеозвонок. Исследователи создали свою экспериментальную среду, используя открытую сеть 4G, программно-определяемое радио для интерфейса 4G и специализированные SIM-карты. После запуска кода на модеме этап повышения привилегий осуществляется путем записи конфигурации с полным доступом в блок защиты памяти ARM модема через регистры сопроцессора, отображая все 32-битное физическое адресное пространство как доступное для чтения, записи и выполнения из контекста модема, включая страницы, где находится ядро Android. Главным условием является наличие общего физического пространства памяти между процессором модема и процессором приложения в рамках SoC Unisoc, без каких-либо аппаратных ограничений, препятствующих изменению памяти ядра кодом контекста модема. Исследователи подтвердили выполнение кода на уровне ядра на тестовом устройстве, проанализировав вывод логов ядра, который показал, что внедренная полезная нагрузка была выполнена. В бюллетене безопасности Android от августа 2026 года, опубликованном до этого сообщения, уязвимость повышения привилегий не рассматривается, и ни один бюллетень безопасности UNISOC ее не освещает. В отдельном уведомлении UNISOC от октября 2025 года, CVE-2025-31718 (CVSS: 7,5), описывается уязвимость проверки входных данных модема в том же семействе чипсетов, хотя неясно, соответствует ли оно уведомлению о SSD-накопителях от марта 2026 года. Так что в настоящее время владельцам устройств недоступны никакие исправления или средства защиты. Ранее в ноябре 2025 года Лаборатория Касперского публиковала независимое исследования, в котором была задокументирована аналогичная архитектурная проблема на другом чипе Unisoc, UIS7862A, используемом в автомобильных головных устройствах. После получения доступа к выполнению кода модема через отдельную уязвимость, в ЛК также смогли получить доступ к работающему ядру Android и модифицировать его, используя общее физическое адресное пространство модема и процессора приложений. ЛК описала один из путей горизонтального перемещения данных, связанный со скрытым периферийным устройством прямого доступа к памяти, как проблему аппаратного уровня, которую невозможно устранить с помощью обновления. Проблема с блоком защиты памяти, используемым в цепочке SSD, в принципе может быть решена путем изменения прошивки, хотя UNISOC пока не выпустила подобного обновления.

Еще немного новостей из мира ИИ: лаборатория безопасности ИИ Irregular взяла на себя ответственность за недавние инциденты, когда передовые модели ИИ вырвались из ее тестовых сред. Инциденты касались моделей от Anthropic и Meta (признана в России экстремистской). Оказывается, Irregular использовала целевые имена, близкие к названиям реальных компаний, и «случайно» оставила некоторые тестовые среды подключенными к интернету. Некоторые из «ведущих моделей» взломали реальную компанию, но полагали, что все еще находятся в симулированной среде. Так что можно расходиться. Отличилась и OpenAI, запустившая новую функцию ChatGPT для macOS. Эта функция, получившая название «История компьютера», записывает (документирует) действия пользователя на устройстве, включая клики, ввод текста и открытие файлов, делая эту информацию доступной для поиска. «История компьютера» отключена по умолчанию, но фактически аналогична функции Microsoft Recall, вызвавшей много споров по части ИБ в Windows 11.

Rapid7 полагает, что традиционные циклы обновления ПО не могут компенсировать стремительный ростом числа раскрываемых уязвимостей и их эксплуатацией, вынуждая ИБ-специалистов выстраивать приоритеты по степени уязвимости, а не показателям серьезности. Недавний анализ Rapid7 демонстрирует новую парадигму лавинообразного появления уязвимостей благодаря ИИ, разрушающей традиционную модель обновления программного обеспечения. Второй квартал 2026 года был не просто очередным сложным кварталом для кибербезопасности. Он больше походил на стресс-тест системы управления уязвимостями. Движущей силой этого стресс-теста является ИИ. ИИ способен делать и то, и другое, но злоумышленник не сможет использовать эксплойт, если цель находится за несколькими брандмауэрами и другими защитными механизмами. Однако объем уязвимостей, обнаруживаемых ИИ, вряд ли когда-либо уменьшится. Постоянно выпускаются новые приложения, и обычно с новыми уязвимостями. Кроме того, растет использование вайб-кодинга. ИИ использует старые шаблоны для написания нового кода, который все еще содержит старые ошибки. Он вносит уязвимости в новый код, которые затем могут быть обнаружены новыми сканированиями ИИ. Традиционные циклы обновления ПО не справляются с огромным количеством уязвимостей, а также скоростью и точностью действий злоумышленников. Уязвимости раскрываются в большем объеме, PoC появляются быстрее, возможность эксплуатации тестируется раньше, а злоумышленники все лучше умеют превращать общедоступную информацию в оперативный доступ. Количество сообщений о критических уязвимостях (CVSS 7–10) удвоилось: с 4268 во втором квартале 2025 года до 8539 во втором квартале 2026 года. За тот же период число новых эксплуатируемых уязвимостей увеличилось на 8% и достигло 40. Огромная разница между количеством обнаруженных и эксплуатируемых уязвимостей объясняется контекстом. В Rapid7 наблюдают рост числа так называемых уязвимостей Holy Grail. Это собственный термин Rapid7 для уязвимостей, не требующих учетных данных или взаимодействия с пользователем. Их количество увеличилось на 9 пунктов по сравнению с прошлым годом, и теперь на их долю приходится 25 из 40 эксплуатируемых уязвимостей во втором квартале 2026 года. В докладе также подчеркивается постоянная активность APT. Дело не в том, что APT-атаки более совершенны, чем преступные группировки, движимые финансовыми мотивами, а скорее в различиях в мотивации и ресурсах. В 99% случаев мотивация государственных структур заключается в настойчивости для долгосрочного шпионажа, а в небольшом проценте - в возможном саботаже. У них есть навыки, бюджет и все ресурсы. Киберпреступники проникают и просто крадут все, что могут, и уходят. Программы-вымогатели остаются одним из основных способов монетизации, и США по-прежнему являются главной целью. Германия занимает второе место, но разница в цифрах разительна. Во втором квартале 2026 года в США пострадала 881 жертва, а в Германии - 91. Qilin, The Gentlemen, DragonForce, Akira и LockBit были наиболее активными группами; при этом целями атак были компании, работающие в сфере бизнес-услуг (23,5%), здравоохранения (22,0%), производства (21,0%), технологий (16,9%) и строительства (16,6%). Объем и скорость современных атак с использованием ИИ сократили время, доступное защитникам для устранения проблем, что наглядно демонстрирует анализ Rapid7. Решение нельзя найти путем реагирования – задача состоит в том, чтобы опередить атакующих. Разница между количеством обнаруженных уязвимостей и меньшим количеством использованных демонстрирует, что это может быть эффективно. Защитникам необходимо понимать, какие участки их сети могут быть доступны злоумышленникам, и продолжать снижать этот риск. Времена оценки уязвимости с точки зрения оценок CVE прошли. Теперь при оценке уязвимостей важна именно степень уязвимости, а не оценка CVE.

❔ Какие компании США могут привлечь к наступательным кибероперациям? Белый дом пока не назвал ни одного участника программы. Правила отбора должны появиться в течение 60 дней, поэтому любой перечень компаний сейчас является лишь 👀 OSINT-прогнозом, а не подтверждённым списком подрядчиков. К участию в программе, скорее всего, привлекут крупнейшие технологические корпорации, выстроив из них эшелонированную коалицию. Наиболее очевидным кандидатом на обеспечение разведданными выглядит Microsoft. Её подразделение Digital Crimes Unit (DCU) имеет многолетний опыт успешных совместных с ФБР операций по перехвату управления и ликвидации инфраструктуры ботнетов (от Zeus до Qakbot). Сходную роль способны выполнять Google и Mandiant, располагающие глобальной телеметрией для точной атрибуции угроз. Chainalysis и Elliptic могут заняться отслеживанием криптовалютной инфраструктуры преступных группировок. Palantir объединит информацию в оперативную картину. OpenAI и Anthropic, вероятно, будут задействованы прежде всего как поставщики специализированных ИИ-моделей и агентных инструментов (не зря их специалисты выезжают на места помогать с развёртыванием ИИ-моделей на местах). Их системы могут автоматизировать поиск уязвимостей, разработку эксплойтов, анализ вредоносного ПО, планирование операций и обработку разведданных, но учитывая скандалы в СМИ, роль ИИ-провайдеров будет ограничена, поэтому, скорее всего, разработку боевых инструментов возьмут на себя профильные киберподрядчики. И у OpenAI, и у Anthropic в правилах использования прямо прописаны так называемые «красные линии». Они запрещают использование ИИ-моделей для проведения наступательных киберопераций, создания вредоносного ПО, вывода из строя чужой инфраструктуры и несанкционированного доступа к системам. Даже когда OpenAI заключила контракты с Военным министерством США, а Anthropic предоставила доступ к Claude для оборонных ведомств через Palantir и AWS, обе компании публично подчеркнули, что контракты допускают только аналитику, оборонительные задачи и обработку данных в рамках закона, но не управление автономным оружием или прямое нанесение ущерба. Таким образом, OpenAI и Anthropic снабжают операцию «мозгами» и ИИ-инструментами, сохраняя формальную чистоту своих корпоративных политик, а практическое исполнение и юридическую ответственность за наступательные действия берут на себя классические подрядчики Пентагона и спецслужб. Эксперты интернетах спорят о том, что непосредственно «грязную работу» (от разработки эксплойтов до проведения самих киберопераций) могут взять на себя профильные оборонные подрядчики с высшими уровнями допуска. Компании вроде Nightwing, ManTech, REDLattice, CACI и Leidos специализируются на наступательных возможностях и располагают опытным штатом специалистов для решения таких задач. Пока это только догадки и не более. ✋ @Russian_OSINT

В киберподполье сегодня также много важных событий, отметим некоторые из наиболее главных. Хакеры взломали французское налоговое агентство, украв налоговые сведения более чем 678 000 граждан Франции. Взлом затронул Генеральном управлении государственных финансов Франции в период с июня по июль. Ответственность за инцидент взял на себя хакер под псевдонимом ZeroBytes. Он утверждает, что находился в процессе загрузки данных 20 млн. граждан, прежде чем взлом был обнаружен и доступ был заблокирован. Правительство Казахстана расследует взлом портала электронного правительства после того, как хакер выставил на продажу, предположительно, украденные данные в даркнете. Массивы охватывают 15 млн. пользователей, что составляет около трех четвертей населения. Руководство страны отрицает взлом самих систем электронного правительства и полагает, что данные были украдены у другого госучреждения, имеющему доступ к базе данных портала. Банда вымогателей CRPx0 за первую неделю после запуска выкатила на свой сайте DLS в даркнете данные 47 компаний. Большинство жертв - из США и Турции. Среди них банки, медицинские организации и турецкое подразделение Hyundai. CRPx0 начала свою деятельность в этом месяце и, предположительно, управляется известным криптомошенником. Исследователь Ракеш Кришнан обнаружил новую группировку, занимающуюся распространением программ-вымогателей, которая активно продвигает свои услуги и сайт утечек в даркнете. Новая банда вымогателей, вызвавшая широкий резонанс в прошлом месяце, скорее всего, провернула кампанию, связанную с кражей данных из Microsoft Dynamics 365. Среди жертв группы ExfilSquad - Allstate, Frontier Airlines, американские города Атланта и Хаус, а также Министерство образования Великобритании и национальная полиция. Исследователи Fortra полагают, что группа использовала неправильно настроенные Microsoft Power Pages, а затем переключилась на среду D365 одной из организаций. Avast сообщила об обнаружении сверхлегкого бэкдора для Windows размером всего 12 КБ. Аналитики отмечают, что вредоносное ПО было обнаружено только на одном устройстве, что предполагает, что это либо тестовая версия, либо очень скрытый инструмент APT. Причем самой необычной его особенностью была конфигурация: адрес его сервера С2 хранился не в виде читаемого текста или зашифрованных данных, а в виде количества пробелов в каждой строке файла desktop.ini операционной системы Windows. Технологические гиганты General Electric (GE) и Philips вслед за Shell и в числе других подтвердили, что расследуют заявления о взломе бандой вымогателей Clop их систем и кражи данных. Предполагается, что атаки были нацелены на критическую уязвимость некорректной проверки входных данных (отслеживаемую как CVE-2026-12569)и затронули доступные через Интернет экземпляры PTC Windchill и PTC FlexPLM. Злоумышленник продает данные, предположительно украденные непосредственно с использованием учетных записей Azure нескольких организаций из списка Fortune 500. Некто TheHatman реализует миллионы записей таких известных брендов, как McDonald's Corporation, Tata Consultancy Services (TCS), Vodafone, HCL Technologies, InterContinental Hotels Group (IHG), Kyndryl, Gap Inc., Hexaware Technologies и Wyndham Hotels. По данным Hudson Rock, массивы содержат внутренние справочники сотрудников, которые, судя по идентифицированным адресам электронной почты и именам полей, совпадающим с экспортированными данными из каталога Azure, выглядят подлинными.

Исследователи Лаборатории Касперского сообщают об обновлении APT HoneyMyte своего бэкдора CoolClient, который получил руткит уровня ядра Windows. CoolClient - семейство бэкдоров, которое непосредственно связяно с APT-группой HoneyMyte (также известной как Mustang Panda). Они применялись в различных кампаниях группировки в целях кибершпионажа за организациями в России и странах Азии. Бэкдоры поддерживают широкий функционал, включая кейлоггинг, перехват данных из буфера обмена, извлечение учетных данных, управление файлами и сбор информации о системе. Кроме того, их функциональность может быть при необходимости дополнена плагинами. После первого публичного описания CoolClient исследователями Sophos в 2022 году и последующего анализа Trend Micro в 2023 году эти бэкдоры продолжали развиваться. В 2025 году в ЛК исследовали более новую разновидность CoolClient, в которой появились функции кражи данных из буфера обмена и перехвата HTTP-трафика с целью сбора учетных данных. Новое исследование, которое в ЛК проводили в конце 2025 года и в 2026 году, открыло еще один значительный этап эволюции вредоносного ПО. Новейший вариант CoolClient способен устанавливать подписанный драйвер режима ядра в качестве службы Windows и взаимодействовать с ним посредством IOCTL-запросов. Драйвер делает зловред еще менее заметным для обнаружения, скрывая процесс CoolClient, защищая связанные с ним файлы и записи реестра, а также препятствуя их анализу и изменению. Такой подход в целом сопоставим с новыми возможностями работы в режиме ядра, ранее замеченными в ToneShell. При этом драйвер CoolClient предоставляет специальные обработчики IOCTL, с помощью которых бэкдор пользовательского режима может взаимодействовать с ним напрямую. Задетектить обновленный вариант CoolClient и связанный с ним драйвер исследователям ЛК удалось в ходе анализа атак, затронувших ряд стран Азии. Последняя версия CoolClient продолжает атаковать организации, профиль которых соответствует ранее наблюдаемой активности HoneyMyte. В ходе расследований жертвы были обнаружены в Мьянме, Монголии, Пакистане и России, при этом есть подтвержденные случаи компрометации госорганизаций. В зафиксированных атаках CoolClient разворачивался как вторичный бэкдор после первоначального заражения PlugX. Таким образом, HoneyMyte, как и ранее, предпочитает использовать PlugX в качестве первичного импланта на этапе посткомпрометации, а затем устанавливать CoolClient. В отличие от более ранних версий CoolClient, которые функционировали преимущественно как бэкдоры пользовательского режима с поддержкой плагинов, новая версия разворачивает драйвер режима ядра и взаимодействует с ним, существенно расширяя свои возможности. С помощью этого драйвера CoolClient способен скрывать и защищать процессы, файлы и объекты реестра, а также фильтровать определенные сетевые данные, что значительно затрудняет обнаружение и анализ вредоносной активности. HoneyMyte уже внедрила функциональность режима ядра в ToneShell. Появление драйвера режима ядра в составе CoolClient позволяет предположить, что группа продолжает внедрять функциональность руткита в свои инструменты для повышения скрытности, обеспечения устойчивого закрепления и обхода средств защиты на стадии посткомпрометации. Подробный технический разбор и IOCs - в отчете.

Национальный центр кибербезопасности Нидерландов (NCSC) предупреждает, что хакеры активно используют уязвимость обхода аутентификации в macOS после появления в открытом доступе эксплойт-кода. Проблема заключается в функции «Совместное использование экрана» в macOS - встроенной функции удаленного рабочего стола, которая позволяет управлять рабочим столом удаленно по сети, используя протокол VNC через TCP-порт 5900. 6 августа Apple исправила CVE-2026-65400 в macOS Tahoe 26.6.1 и более ранних версиях. Она позволяла сетевым злоумышленникам получить доступ без действительных учетных данных. Злоумышленник может использовать этот доступ для удаленного открытия приложений, доступа к файлам, изменения настроек безопасности и выполнения различных других действий. В обновленной версии первоначального предупреждения голландское агентство сообщило, что получило сообщение о том, что уязвимость используется в реальных атаках, когда порт 5900 открыт для доступа из интернета. NCSC получила уведомление, что на нескольких системах, к которым порт 5900 был доступен из Интернета, наблюдалось активное использование этой уязвимости. По данным NCSC, злоумышленник получил root-доступ к системе и развернул майнер криптовалюты Monero. Пользователям macOS рекомендуется обновить свою систему до одной из следующих версий, в которых устранена уязвимость CVE-2026-65400: macOS Tahoe 26.6.1, macOS Sequoia 15.7.9 и macOS Sonoma 14.8.9. В этих обновлениях улучшены механизмы управления состоянием для обеспечения корректной проверки учетных данных и предотвращения несанкционированных попыток аутентификации. Если обновление системы невозможно выполнить немедленно, пользователям следует отключить функцию совместного использования экрана в системных настройках, если она не требуется. NSCS не предоставила никаких подробностей о выявленных атаках. Но будем следить.

Microsoft подтвердила, что начала работу над обновлением для 0-day в Defender, получившей название ShieldBreak. Анонимный исследователь Nightmare Eclipse раскрыл эту EoP-уязвимость после того, как Microsoft выпустила свой PatchTuesday за август 2026 года. Microsoft сообщила, что осведомлена о выявленной уязвимости и активно расследует достоверность и потенциальную применимость всех вышедших по этому поводу утверждений, обязуясь расследовать проблему и как можно скорее обновить затронутые продукты. Nightmare Eclipse описал ShieldBreak как обходной путь для RoguePlanet (CVE-2026-50656), еще одной уязвимости Defender, позволяющей повысить привилегии и которая была обнаружена в июне, а также поделился PoC-эксплойтом ShieldBreak, который локальные злоумышленники с ограниченными правами могут использовать для получения привилегий SYSTEM в полностью обновленных системах Windows 10, Windows 11 и Windows Server. PoC был протестирован на последней версии Windows 11 25h2 (+канал Canary) и Windows Server 2025, показав 100% успешность. При этом Windows 10 (и соответствующие серверные версии) в настоящее время не поддерживаются, однако они также уязвимы для ShieldBreak. Аналитик Уилл Дорманн на прошлой неделе также подтвердил работоспособность эксплойта ShieldBreak, но добавил, что для повышения привилегий злоумышленникам также необходимо включить Microsoft Defender. В пятницу, спустя три дня после обнаружения ShieldBreak, Microsoft заявила, что теперь отслеживает её как CVE-2026-69414 и подтвердила, что работает над исправлением, но пока официально не признала, что Nightmare Eclipse её обнаружил. Напомним, что Nightmare Eclipse публично раскрыл информацию о ShieldBreak без уведомления Microsoft в рамках продолжающейся дискуссии с компанией по поводу некорректных процедур раскрытия информации об уязвимостях и практики вознаграждения за обнаружение ошибок. В свою очередь, Microsoft отреагировала предупреждениями о судебных исках против лиц, занимающихся «злонамеренной деятельностью, причиняющей реальный вред» ее клиентам, что заставило многих поверить, что компания напрямую угрожает исследователю безопасности. С апреля Nightmare Eclipse раскрыл множество 0-day, нацеленных на Microsoft Defender, BitLocker и различные другие компоненты Windows, теперь известные как LegacyHive, RoguePlanet, BlueHammer, RedSun, YellowKey, GreenPlasma, MiniPlasma и UnDefend. Microsoft исправила уязвимости YellowKey, GreenPlasma и MiniPlasma в рамках обновления PatchTuesday в июне 2026 года и затем RoguePlanet в июле, однако другие уязвимости от Nightmare Eclipse по-прежнему остаются нулями и до сих пор ожидают официальных патчей.