SecAtor

Подкатили подробности инцидента со взломом Голландского института раскрытия уязвимостей (DIVD). Как оказалось, взломать его сети удалось благодаря использованию цепочки из двух 0-day в системе обработки заявок с открытым исходным кодом Zammad. В свою очередь, в DIVD ранее заявляли, что атака была «громкой и очень, очень хаотичной», и притом инициированной агентом ИИ, который действовал автономно и принимал решения о своих дальнейших шагах без внешнего вмешательства или указаний. Благодаря тому, что ИИ-агент оставил после себя четкие объяснения своих решений, DIVD удалось получить обширные сведения об атаке, что позволило организации восстановить картину произошедшего. По данным некоммерческой организации, две уязвимости, теперь отлеживаемые как CVE-2026-102489 и CVE-2026-102490, позволяли перехватывать сессии, удаленно выполнять код и повышать привилегии до уровня root. После использования уязвимостей атакующий смог получить доступ к другим сервисам, прочитать и похитить данные из систем DIVD, причем все действия были выполнены за считанные секунды благодаря автоматизации с помощью ИИ. Такой симбиоз позволил злоумышленникам перехватывать сессии, удаленно запускать код и за считанные секунды повышать привилегии пользователя Zammad до уровня root благодаря агентной части этой хакерской атаки. Благодаря сегментации сети и мерам реагирования на инциденты, злоумышленнику не удалось проникнуть глубже в сеть. Однако расследование всё ещё продолжается. Zammad - это платформа для обработки заявок в службу поддержки и ИТ-поддержки с открытым исходным кодом, использующая ИИ для управления запросами клиентов, обращениями в ИТ-поддержку и внутренними заявками. Решение доступно как в виде самостоятельного, так и в виде размещенного на сервере сервиса. При этом Zammad заявляет о более чем 2000 клиентов и 55 000 пользователей, среди которых есть в числе прочих De'Longhi, Amnesty International и NextCloud. DIVD обнаружила зиродеи в сотрудничестве с Merlon Security, уведомила Zammad о проблеме и также предупредила других пользователей об уязвимых экземплярах. DIVD рекомендует пользователям Zammad обновиться до версии 7, которая считается безопасной, или как можно скорее отключить приложение. Помимо этого пообещала позже предоставить дополнительную информацию об инциденте.

Более 543 000 учетных данных, потенциально скомпрометированных в общедоступных репозиториях GitHub, оставались действительными в июле, несмотря на меры безопасности платформы, направленные на предотвращение случайных утечек конфиденциальных данных. Данные, полученные в результате сканирования 224 млн. хранилищ и более 58 млрд. файлов, показывают, что среднее время, в течение которого уникальные учетные данные оставались в открытом доступе, составляло 784 дня. Исследование Truffle Security показало, что около 10% удостоверений личности для работы были выданы более 6,3 лет назад, а самое старое датируется 2009 годом. В общей сложности исследователи выявили 543 699 уникальных учетных данных, которые неоднократно встречались в более чем 1,1 млн. файлов и репозиториев, включая копии в форках. Оценка проводилась на наборе данных, собранном для обучения LLM на основе процесса сканирования, завершившегося 7 августа 2025 года. Truffle Security отметила, что количество скомпрометированных учетных данных на GitHub более чем вдвое превышает показатель августа, когда после сканирования Hugging Face было обнаружено 221 303 работающих учетных данных. Исследователи отмечают, что плотность «секретной» информации со временем увеличилась: количество рабочих учетных данных выросло с 3,72 на миллион файлов в 2015 году до пика в 11,62 в 2025 году. Отдельно в Truffle Security оценили метрики в части Push Protection. Функция защиты от случайной утечки учетных данных GitHub, Push Protection, была реализована в апреле 2022 года для пользователей с расширенными правами доступа и стала доступна для публичных репозиториев в мае 2023 года. Год спустя GitHub включил ее по умолчанию. Push Protection сканирует входящий код на наличие секретных шаблонов, таких как ключи API и токены доступа, и блокирует загрузку, если обнаруживает таковые. Однако он не отзывает ранее раскрытые учетные данные. По данным Truffle Security, после активации функции Push Protection для всех пользователей GitHub в феврале 2024 года было раскрыто 199 843 учетных данных, выявленных в июле, что составляет примерно 36,8% от общего числа. Чуть более половины (51,8%) активных учетных данных попадали в категории, которые не блокируются стандартной функцией защиты от push-уведомлений GitHub, включая строки подключения к базе данных и ключи API Google. Так что, похоже, функция Push Protection эффективна в пределах своей зоны действия: после включения этой функции по умолчанию доля раскрытых учетных данных в защищенных категориях снизилась на 53%. Рассматривая набор данных в более широком контексте, Truffle Security отметила, некоторые типы учетных данных гораздо чаще отзываются, чем другие, в зависимости от используемой службы. Например, из 101 886 подтвержденных токенов npm исследователи обнаружили только 1 работающий. В то же время из 126 963 учетных данных сервисов Google Cloud, 69 041 оставались действительными и рабочими на момент анализа. Отдельно следует учитывать, что результаты исследования Truffle Security указывают на потенциальный объем утечки рабочих секретов на GitHub, но не раскрывают, какой процент этих секретов фактически был украден или использован злоумышленниками.

Cisco выпустила обновления для устранения критической 0-day в Catalyst SD-WAN Manager (отслеживаемой как CVE-2026-76504), которую злоумышленники активно используют для повышения своих привилегий до уровня администратора. Ранее известное как SD-WAN vManage, ПО Catalyst SD-WAN Manager позволяет администраторам отслеживать и управлять до 6000 устройствами SD-WAN с единой панели управления. Как сообщается, в сентябре Cisco PSIRT обнаружила активную эксплуатацию этой CVE-2026-76504. Она затрагивает все развертывания независимо от конфигурации системы, связана с управлением аутентификацией на основе сессий API и позволяет неаутентифицированным злоумышленникам удаленно получать доступ к уязвимым системам с правами администратора. Уязвимость обусловлена некорректной обработкой кодировки URI в HTTP-запросе, что позволяет запросу обходить правило аутентификации, предназначенное для ограничения доступа к определенной конечной точке API. Злоумышленник может использовать эту уязвимость, отправив специально сформированный HTTP-запрос к API уязвимой системы. Так или иначе, Cisco пока не предоставила дополнительных подробностей об атаках с использованием CVE-2026-76504, но поделилась IOCs, отмечая, что злоумышленники используют %6a в качестве закодированного в URI символа "j" в вредоносных запросах. Также рекомендуется проверять serviceproxy-access.log, расположенный в /var/log/nms/containers/service-proxy, и vmanage-server.log в каталоге /var/log/nms/ на наличие записей, связанных с j_security_check, от неизвестных или неавторизованных IP. Для определения того, был ли скомпрометирован Cisco Catalyst SD-WAN Manager, клиенты могут обратиться в службу технической поддержки Cisco (TAC) и предоставить необходимые файлы для проведения проверки. Таким образом, CVE-2026-76504 - это уже пятая 0-day в SD-WAN, активно используемая злоумышленниками с начала года. Сегодня CISA добавило ее в свой каталог KEV. Вообще же с ноября 2021 года в реестре CISA 90 уязвимостей Cisco, которые были использованы злоумышленниками, в том числе четыре в Cisco Catalyst SD-WAN Manager, включая семь, используемых бандами вымогателей.

Исследователи Лаборатории Касперского рассказали, где искать следы атакующего при компрометации 1С. В этом году ЛК уже публиковала разбор реальных атак, в которых злоумышленники использовали некорректные настройки 1С. Такие атаки могут в конечном итоге привести к шифрованию данных, удалению виртуальных машин и другим деструктивным последствиям. В новом отчете исследователи поделились своим практическим опытом в части того, как расследовать такой инцидент, если он уже произошел, какие артефакты нужно искать и как анализировать журнал регистрации 1С с учетом его специфики. Артефакты использования в атаке платформы 1С можно обнаружить в данных систем мониторинга или при непосредственном анализе скомпрометированного сервера. Важные источники информации - технологический журнал и журнал регистрации 1С. К маркерам подозрительной активности относятся, например, подозрительные подключения к консоли администрирования кластера серверов 1С, создание новых информационных баз, ошибки при работе с 1С-шеллами, попытки выгрузки информационной базы и пр. На серверах с программным обеспечением 1С необходимо обращать внимание на любые срабатывания защитных решений. В частности, продукты Лаборатории Касперского обнаруживают и блокируют попытки вредоносной эксплуатации 1С при помощи компонента Behavior Detection, детективу также различные вредоносные внешние обработки, доступные на GitHub.

Вслед за агентами ФБР США масштабная утечка накрыла более 3 млн. штатовских военнослужащих. Как сообщается, утечка связана с работой Центра данных по кадровым ресурсам Министерства обороны (DMDC), который ведет учет личных дел сотрудников Министерства обороны. При этом сам DMDC уже приступил к уведомлению сотрудников Пентагона о том, что их личная информация была раскрыта. Согласно уведомлению, неавторизованные пользователи имели доступ к одному из ее серверов для обмена файлами в течение примерно девяти месяцев. В копии уведомительного письма от 18 сентября, опубликованного в интернете одним из получателей, говорится, что проблема была обнаружена в середине 16 июля 2026 года. В системе обмена файлами DMDC была уязвимость, позволявшая неавторизованным пользователям получать доступ к файлам. DMDC незамедлительно обновила систему обмена файлами, устранив уязвимость, после чего система была восстановлена. В письме не указано название затронутого продукта для обмена файлами и не описана уязвимость. Тем не менее, анализ показал, что в период с октября 2025 года действительно небольшое число неавторизованных пользователей получали доступ к незашифрованным файлам на сервере. Раскрытые данные различались в зависимости от персоналии и включали номера соцстрахования, а также полные установочные данные (имена, даты рождения, демографические данные), контактную информацию и военно-учетные специальности. Как заверяет DMDC, на данный момент у DoW нет никаких признаков неправомерного использования полученной информации. Представитель Министерства обороны сообщил CNN, что утечка данных затронула 2,76 млн. ныне живущих и 294 000 погибших военнослужащих. По состоянию на 2024 год, DMDC хранила не менее 60 млн. записей, охватывающих как военнослужащих, так и гражданских лиц, подрядчиков, членов их семей, пенсионеров и ветеранов. Неясно, кто стоит за кибератакой. Ни одна известная группа пока, по всей видимости, не взяла на себя ответственность за нападение на DMDC. Так что будем следить.

В продолжение к предыдущему: в своем отчете Mandiant приводит дополнительные подробности о том, как используется уязвимость CVE-2026-88772, подтверждая некоторые из тех же моделей атак, которые были обнаружены GreyNoise. Mandiant полагает, что эксплойты обходят аутентификацию и приводят к неожиданному завершению работы механизма обработки пакетов NetScaler (NSPPE), предоставляя злоумышленникам доступ с правами root. Хотя у Google Threat Intelligence Group нет кода эксплойта, анализ телеметрии предполагает, что передача специально искаженных или фрагментированных заголовков записей вызывает повреждение границ памяти кучи в пакетном движке, перенаправляя поток управления на выполнение произвольного шелл-кода с правами root на базовой платформе FreeBSD. В Google наблюдалась аналогичная активность после взлома, включая установку злоумышленниками веб-оболочек PHP и изменение конфигурации веб-сервера NetScaler таким образом, чтобы файлы с расширениями, отличными от исполняемых, обрабатывались как PHP. По данным Mandiant, в одном из инцидентов злоумышленники изменили файл /etc/httpd.conf таким образом, чтобы .deb файлы выполнялись как PHP, что позволило использовать веб-оболочки из каталогов, обычно содержащих клиентское программное обеспечение NetScaler. В других атаках злоумышленник использовал .sig файлы и модифицировал конфигурацию веб-сервера таким образом, чтобы запросы к .ico изображениям /vpn/media/ перенаправлялись на вредоносные PHP-файлы. Google утверждает, что это позволяло вредоносным запросам веб-оболочки выглядеть как запросы на файлы изображений или CSS, одновременно выполняя команды злоумышленника через функции PHP shell_exec() или eval(). Некоторые из веб-оболочек возвращали фейковые HTTP-ответы 404 при выполнении команд, что еще больше маскировало вредоносную деятельность. Mandiant заметила, что злоумышленники использовали два ранее не описанных семейства вредоносных ПО, отслеживаемых как WHIPSHOT и SLAPSHOT. WHIPSHOT - это веб-оболочка на PHP, замаскированная под пакет Debian и хранящаяся в каталоге скриптов NetScaler VPN. Она действует как HTTP-прокси для SLAPSHOT, извлекая закодированные в Base64 данные из заголовков HTTP-запросов и пересылая их туннелирующей вредоносной программе, работающей на скомпрометированном устройстве. WHIPSHOT также проверяет, запущен ли SLAPSHOT, и может ли он извлекать и запускать встроенные полезные нагрузки Python в фоновом режиме. SLAPSHOT представляет собой инструмент для туннелирования TCP на основе Python, который соединяет скомпрометированное устройство NetScaler с внутренними устройствами, позволяя злоумышленникам распространяться дальше по сети. Вредоносная ПО принимает команды от WHIPSHOT и способна устанавливать соединения с внутренними хостами, отправлять и получать данные по этим соединениям, а также закрывать сессии по завершении и может самопроизвольно завершать свою работу Хотя первоначальная эксплуатация предоставляет права root, команды, выполняемые веб-оболочками, обычно выполняются под учетной записью с более низкими привилегиями, под которой работают веб-серверы NetScaler. По данным Google, для сохранения доступа с правами root злоумышленники изменили права доступа к каталогу /bin/sh таким образом, чтобы команды выполнялись с повышенными привилегиями. Злоумышленник также перезагружал устройства NetScaler или перезапускал веб-сервер, чтобы применить изменения конфигурации. Mandiant рекомендует специалистам в первую очередь установить последние обновления для Citrix и проверить устройства NetScaler на наличие признаков компрометации. К потенциальным индикаторам относятся несанкционированные обработчики PHP или псевдонимы в httpd.conf, подозрительные файлы .deb или .sig, содержащие код PHP, необычные ответы HTTP 404, неожиданные сбои NSPPE, а также наличие файлов /tmp/.uxdport или /tmp/.uxdlock, связанных со SLAPSHOT.

Mandiant сообщает об эксплуатации 0-day, CVE-2026-88772, в Citrix NetScaler, связанной с развертыванием веб-оболочек и вредоносного ПО для туннелирования, получением root-доступа и кражей учетных данных. Атаки стартовали как минимум с начала сентября и, как полагают исследователи, затронули организации в Северной Америке и Европе из правительственного, финансовоого, образовательного и юридического секторов. Первые упоминания о начавшейся кампании впервые появились в выходные, когда среди клиентов начала циркулировать информация о двух зиродеях в NetScaler и необходимости отключения всех затронутых устройств. WatchTowr позже подтвердила сообщения о том, что в сети используются две 0-day для удаленного выполнения кода в NetScaler, а Citrix готовит патчи. В воскресенье Citrix в конечном итоге раскрыла подробности по CVE-2026-88771 и CVE-2026-88772, а некоторые исследователи назвали эти их PitScaler. Citrix подтвердила, что обе уязвимости были использованы в незащищенных развертываниях NetScaler, и выпустила обновления для их устранения. CVE-2026-88771 - это RCE-уязвимость без аутентификации, затрагивающая все развертывания NetScaler ADC и Gateway, а CVE-2026-88772 - это уязвимость переполнения памяти, которая может привести к RCE или DoS при включенном DTLS. 24 сентября GreyNoise зафиксировала попытку использовать уязвимость Citrix NetScaler Gateway, за три дня до того, как Citrix публично сообщила об уязвимостях. Атака была совершена с IP 149.104.78.141 и была детектирована до того, как стали доступны средства обнаружения уязвимостей CVE. По данным GreyNoise, злоумышленник попытался модифицировать систему /bin/sh, чтобы получить root-доступ к оболочке и установить защищенную паролем веб-оболочку PHP по адресу /var/netscaler/logon/LogonPoint/custom/.ctxs.receiver. Он также предпринимал попытки внести изменения /etc/httpd.conf таким образом, чтобы запросы к файлам, которые выглядели как CSS-файлы, включая receiver.min.css, вместо этого открывали скрытую веб-оболочку PHP. Компания пока не публикует полную версию эксплойта, но рекомендует проверить наличие ctxs.receiver файла, связанных с ном Alias или AliasMatch записей в httpd.conf, изменений в правах доступа к /bin/sh и подключений с наблюдаемого IP источника.

ФБР США обратилось к членам ShinyHunters, призвав их сдаться после после того, как партнеры бюро из Национальной полиции Нидерландов арестовали одного из предполагаемых лидеров группы. Голландская полиция сообщила, что подозреваемый - 24-летний мужчина из Амстердама, был арестован 15 сентября. По сообщению словаков, его подозревают в участии в деятельности ShinyHunters и в принадлежности к преступной организации. На его ноутбуке было обнаружено большое количество информации, в том числе улики, связанные с подготовкой к совершению двух убийств за границей. Причем артефакты указывают на то, что именно подозреваемый отдал приказ об этом. Во вторник окружной суд Роттердама постановил оставить подозреваемого под стражей до суда как минимум еще на 90 дней, при этом полиция заявила, что дальнейшие аресты не исключены. ФБР США утверждает, что ShinyHunters и ее предполагаемые сообщники с прошлого года взломали более 140 организаций и получили не менее 70 млн. долл. в виде выплат «выкупа». Хакеры достаточно часто атакуют корпоративные учетные записи SSO, сторонних поставщиков и облачные SaaS-платформы, включая Salesforce и Snowflake, для кражи конфиденциальных данных, а затем шантажа жертв угрозами их публикации. Все наша версия про паяльник оказалась рабочей, реакция ФБР на масштабный инцидент, связанный с кражей ShinyHunters данных бюро через нуль в Oracle PeopleSoft, оказалась более чем оперативной. Напомним, ShinyHunters публично заявили о краже от двух до трех ТБ данных из систем ФБР, включая информацию, связанную с ее внутренними корпоративными системами. Впоследствии банда вымогателей предоставила в СМИ образцы примерно 5000 единиц данных на сотрудников ФБР в подтверждение своих заявлений. Причем, среди них якобы оказались данные об участниках секретной группы бюро, занимающейся хакерскими операциями. Кроме того, как сообщила Reuters, что некоторые из разоблаченных сотрудников были задействованы в расследованиях, касающихся Китая и России. Несмотря на конфиденциальность украденной информации, ShinyHunters отметила, что атака на ФБР не была мотивирована финансовыми соображениями, попыткой вымогательства или целью публикации данных. Злоумышленники утверждают, что провернули кейс в ответ на заявление ФБР в отношении ShinyHunters, в которой упоминались, по их мнению, не соответствующие действительности, некоторые тактические приемы вымогательства. В общем, задели репутацию группы. Теперь же ФБР перешло к публичным нападкам на банду, выдав видеоролик с обращением к оставшимся на свободе членам ShinyHunters, призывая их сдаться и не полагаться на «друзей», которые в любом случае их сдадут. По всей видимости, теперь ShinyHunters предстоит вести переговоры уже на «DLS-ресурсах» ФБР, где в скором времени могут нарисоваться неуспевшие договориться со содействием члены банды. Очевидно, что украденные 3ТБ могут стать вполне неплохими «выкупными». Будем следить.

Новый вариант атаки Spectre v2 - Branch Target Reuse (BTR), позволяет восстанавливать хэши паролей root с компьютеров Intel под управлением Linux всего за несколько минут. Атака BTR использует устаревшую информацию в алгоритме предсказания ветвлений процессора после того, как JIT-компилятор повторно использует память для нового кода. Манипулируя этой остаточной информацией, злоумышленник может обмануть процессор, заставив его временно выполнить неверные инструкции, и потенциально раскрыть конфиденциальные данные. Исследователи VUsec (группа системной и сетевой безопасности Амстердамского университета VU) и Высшей школы Сант-Анна разработали новую атаку и оценили ее эффективность в отношении движка JavaScript SpiderMonkey в Firefox, GraalVM и cBPF ядра Linux. Атака остается важным открытием, учитывая, что с 2018 года в этой области считалось, что подобные атаки нецелесообразны из-за того, что в качестве основы для динамической генерации кода в стандартных JIT-системах используется самомодифицирующийся код (SMC). BTR демонстрирует обратное, показывая, что атаки с использованием временного выполнения на основе SMC являются практичными в реальных условиях и могут быть использованы для утечки хеша пароля root. Исследователи уведомили затронутых поставщиков, проблемам были присвоены CVE-2026-64507 и CVE-2026-64508. Исправления уже были интегрированы в ядро Linux. В своем отчете исследователи продемонстрировали два сквозных эксплойта для Linux cBPF: один при конфигурации по умолчанию и один с включенной опцией постоянного ослепляющего усиления защиты. В последнем случае эксплойт адаптирован для кодирования инструкций, контролируемых злоумышленником, в смещениях перехода, и при этом хеш все равно восстанавливается в течение пяти минут. Исследователи также изучили SpiderMonkey от Firefox и GraalVM от Oracle в качестве отдельных JIT-движков для выявления уязвимостей BTR. В SpiderMonkey демонстрационный PoC VUSec показал, что устаревшие прогнозы сохраняются при повторном использовании кода, но не при полной атаке на браузер. В GraalVM исследователи обнаружили способ спекулятивного пропуска проверки в песочнице, но активность движка обнулила прогнозы до того, как они смогли завершить атаку в своих экспериментах. Что касается реальных условий эксплуатации, исследователи отмечают, что большинство современного оборудования уязвимо для этой новой атаки BTR. Косвенное предсказание ветвлений является неотъемлемой частью современных процессоров, и BTR использует рассинхронизацию между предсказателем ветвлений и фактическим состоянием кода. Ни один из современных процессоров не имеет механизма синхронизации этих двух данных, поэтому, пока производители не добавят такой механизм, процессор будет уязвим. Ученые подтвердили это поведение на каждом протестированном процессоре, включая Intel, AMD и Arm. Пользователям рекомендуется установить обновления ОС и микропрограммного обеспечения, а пользователям Linux - обновить ядро до последней версии.

Исследователи F6 сообщают об обнаружении новой активности Mimbrob, нацеленной на российский ВПК и IT‑компании. В апреле 2026 года F6 обнаружили волну вредоносной активности, однако достаточных оснований для того, чтобы атрибутировать эту активность какой‑либо из ранее известных киберпреступных группировок, не было. Атакующие рассылали фишинговые письма с архивами, нацеленные на организации в авиакосмической промышленности. Судя по выбору целей и качеству составления фишинговых писем, вероятная цель атакующих – шпионаж. Содержимое архивов включало в себя легитимный исполняемый файл (чаще всего Яндекс Браузера) и вредоносную DLL, загружаемую с помощью техники DLL Sideloading. С2-серверы атакующих мимикрировали под технические домены Yandex, а адреса отправителей писем - под реальные организации. Специалисты присвоили группе название Mimbrob - mim по мимикрии в доменах и файлах, br - от использования браузеров в атаках, rob - от найденного на скомпрометированном домене логотипа. Атакующие впервые проявили активность в апреле 2026 года, параллельно распространяя через фишинговые письма вредоносное ПО на Go и загрузчик FBULoader (аббревиатура от Fake Browser Update Loader – фальшивый загрузчик обновления браузера). Затем в мае злоумышленники через свой сайт распространяли загрузчик FBULoader под видом приложения Dronner для отслеживания дронов типа «Баба‑яга». С начала сентября группировка возобновила активность и стала распространять фишинговые письма на тему судебных разбирательств, нацеливаясь на IT‑компании. Вместе с тем, поскольку финальная нагрузка в ходе исследования не была получена, более точные выводы о мотивации остаются в области предположений. Технические подробности, включая сетевую инфраструктуру атакующих, IOCs - в отчете на сайте F6.

Два сторонних GitHub Actions, ранее скомпрометированные в ходе кампании Mini Shai-Hulud, были повторно активированы их разработчиком и оставались доступными более недели, несмотря на то, что по-прежнему указывали на вредоносный код. После взлома 18 мая команда безопасности GitHub удалила папки actions-cool/issues-helper и actions-cool/maintain-one-comment, предотвратив загрузку вредоносного ПО из любых последующих рабочих процессов. По данным исследователей Socket, с 16 по 25 сентября оба действия снова активировались с теми же тегами релиза, в результате чего рабочие процессы, ссылающиеся на эти действия, загружали и выполняли старую полезную нагрузку. Тогда в мае атака Mini Shai-Hulud на цепочку поставок затронула 323 пакета и 639 версий пакетов в индексе Node Package Manager (npm), заразив их вредоносным ПО, нацеленным на токены разработчиков, учетные данные и секреты CI/CD. Исследователи Socket обнаружили, что в прошлую среду теги релизов actions-cool/issues-helper и actions-cool/maintain-one-comment привели к коммиту, содержащему обфусцированную полезную нагрузку внутри файла index.js. Оба репозитория по-прежнему указывают на вредоносный контент, появившийся 18 мая, поэтому любой рабочий процесс, который ссылается на любое из этих действий по тегу версии, возобновлял загрузку и выполнение полезной нагрузки при следующем запуске. Неясно, почему эти репозитории были повторно включены без предварительной надлежащей очистки. По данным Socket, в графе зависимостей GitHub указано около 15 000 репозиториев, зависящих от issues-helper, хотя это не означает, что все они были скомпрометированы. Исследователи отмечают, что им пока не удалось установить, сколько зависимых элементов ссылаются на то или иное действие с помощью изменяемого тега, а не закрепленного коммита. Однако они пояснили, что затронутые действия - это те, которые выполняются почти ежедневно, поскольку они направлены на решение текущих проблем. 25 сентября Socket установила, что оба действия снова были отключены на GitHub, в результате чего рабочие процессы, которые ссылаются на них, завершались с ошибкой вместо выполнения полезной нагрузки. Socket рекомендует найти ссылки на оба действия, удалить их или закрепить проверенный чистый коммит, просмотреть запуски с 16 сентября и ротировать секреты, доступные для рабочих процессов, которые запускали затронутый тег. Разработчикам, которых потенциально может затронуть данная проблема, следует проверить наличие ссылок на оба действия и удалить их или закрепить проверенный чистый коммит.

Полиция штата Амстердам (Politie Landelijke Opsporing en Interventies) накрыла 24-летнего жителя Амстердама в рамках расследования деятельности хакерской группы ShinyHunters, который в ближайшее время предстанет перед окружным судом Роттердама. По данным KrebsOnSecurity и DataBreaches, подозреваемым является Пепейн ван дер Стап, голландский хакер, ранее известный в сети под псевдонимом Umbreon. В январе 2023 года Ван дер Стап обвинялся во взломе и шантаже более десятка компаний в Нидерландах и по всему миру. Впоследствии он признал себя виновным и был приговорен к четырем годам тюремного заключения, из которых 1 - условно и еще три с испытательным сроком. Как передает DataBreaches, Ван дер Стап был арестован снова в этом году 15 сентября, когда сотрудники подразделения тактической полиции Нидерландов провели обыск в доме в Амстердаме, где он жил со своей матерью, по результатам которого изъяли электронные устройства. Как сообщает KrebsOnSecurity, источники, знакомые с ходом расследования, подтвердили, что власти изучают возможную связь между Ван дер Стапом и ShinyHunters. В отчете также утверждается, что псевдоним Umbreon, ранее использовавшийся Ван дер Стапом, может связать его с ShinyHunters, которые недавно использовали того же персонажа Pokémon в рамках кампании по краже данных ФБР США и взлома сайта банды вымогателей Clop. При этом установлено, что Ван дер Стап использовал псевдоним Umbreon и изображения покемонов на BreachForums ещё в 2021 году. Однако тот же персонаж Umbreon появился годом ранее, в 2020 году, в ходе взлома HackForums, за год до того, как Ван дер Стап создал учетную запись Umbreon. Ранее нидерландская полиция обнародовала запись с голосом нидерландскоязычного мужчины, подозреваемого в причастности к взлому Odido. Полиция сообщила, что мужчина позвонил в службу поддержки Odido, представившись сотрудником IT-отдела компании, и обманом заставил сотрудника ввести учетные данные и проверочный код на фейковый странице авторизации, что открыло злоумышленникам доступ к внутренним системам. DataBreaches, которая, по её собственным словам, неоднократно общалась с Ван дер Стапом, отметила, что голос на записи не похож на его. Кроме того, близкий друг Ван дер Стапа пришёл к тому же выводу. В свою очередь, касаясь ареста Ван дер Стапа, представители ShinyHunters опровергают любую связь с ним: «Этот человек никак с нами не связан. Честно говоря, мы смеемся». Так или иначе, совпадения голоса или иные значимые факты могут быть гарантированно получены силовиками уже проверенным методом терморектального криптоанализа, для проведения которого предусмотрительные полицейские подложились всеми бумагами и согласованиями. Очевидно, похлопотали американские коллеги после своих недавних «контактов» с ShinyHunters. В общем, будем посмотреть.

Apple выпустила обновления для устранения 0-day, используемой в «чрезвычайно сложных» таргетированных атаках на устройства iOS. CVE-2026-20700 связана с обнаруженной компанией Meta Product Security (признана экстремистской в России) проблемой записи за пределы допустимого диапазона в CoreGraphics - фреймворке, используемом для двухмерной векторной графики, рендеринга изображений и рисования текста на iOS, macOS, iPadOS, watchOS и tvOS. Успешная эксплуатация уязвимостей записи за пределы выделенного буфера памяти позволяет злоумышленникам вызвать сбой в работе программы, повредить данные или, в худшем случае, получить возможность RCE путем записи данных за пределы выделенного буфера памяти. Apple отдельно отметила, что эта уязвимость, вероятность, использована в чрезвычайно сложной атаке против конкретных целевых лиц на версиях iOS, предшествующих iOS 27. Обработка специально созданного файла может привести к выполнению произвольного кода. Проблема записи за пределы допустимого диапазона была решена за счет улучшения проверки границ. Среди затронутых нулем устройств: iPhone 11, iPad Pro 12,9 дюйма 3-го поколения, iPad Pro 11 дюймов 1-го поколения, iPad Air 3-го поколения, iPad 8-го поколения, iPad mini 5-го поколения (и все более поздние модели), а также Mac под управлением macOS Sequoia 15.8.1 и Tahoe 26.7.1. Apple устранила проблему, улучшив проверку границ для предотвращения эксплуатации уязвимостей в iOS 26.7.1 и iPadOS 26.7.1, macOS Tahoe 26.7.1 и macOS Sequoia 15.8.1. Уязвимость, по всей видимости, используется исключительно в целевых атаках, тем не менее настоятельно рекомендуется незамедлительно установить последние обновления. В совокупности с этой уязвимостью Apple устранила две 0-day, эксплуатируемые злоумышленниками с начала года. Другая уязвимость, связанная с произвольным выполнением кода в dyld, отслеживаемая как CVE-2026-20700 и также используемая в таргетированных атаках, была исправлена еще в феврале. В прошлом году на счету Apple было сеть таких уязвимостей нулевого дня, включая CVE-2025-24085, CVE-2025-24200, CVE-2025-24201, CVE-2025-31200, CVE-2025-31201, CVE-2025-43529 и CVE-2025-14174. Но, как говорится, еще не вечер. Будем посмотреть.

Intel отменила финансовые вознаграждения в рамках своей программы поиска уязвимостей, ранее обещавшую до 100 000 долл. за каждое сообщение об уязвимости после его подтверждения. Компания обновила страницу своей BugBounty на платформе Intigriti, убрав информацию о денежных выплатах и добавив отметку «вознаграждение не предусмотрено». Последнее обновление страницы с наградами датируется 13 сентября. Сама Intel отказалась комментировать причины отмены. BugBounty Intel работала уже более десяти лет, при этом после раскрытия Specter и Meltdown в 2017 году, показавших, насколько уязвимы и небезопасны ее процессоры, размер вознаграждения значительно увеличился, стимулируя новые не менее значимые исследования. Конечно, доподлинно неизвестно, сколько раз Intel присудила максимальное вознаграждение, но всё же производила выплаты. Однако дело даже не в этом. Обновленную альтруистическую BugBounty от Intel следует рассматривать в более широком контексте. За последний год ряд технологических гигантов начали рапортовать о массах обнаруженных с помощью ИИ ошибок, которые буквально обрушились на их программы BugBounty. Если один из них отнимали время и ресурсы у специалистов, то другие попросту истощали бюджеты программ BugBounty постоянным потоком сообщений об ошибках. До недавнего времени ведущие специалисты из ИБ-индустрии предупреждали о надвигающемся апокалипсисе, связанном с уязвимостями и ИИ, который может привести к тому, что многие из них не будут устраняться вовремя. Однако теперь еще одним побочным эффектом этого тренда можно считать - сокращение или почти полное исчезновение хорошо оплачиваемых BugBounty. Так что в ближайшем будущем растущее число репортов об ошибках приведет к откату на два десятилетия назад, когда все сообщения об ошибках были бесплатными. Что касается профессии «багхантера», то она, конечно же, не исчезнет, но, к сожалению для многих, она уже не будет такой прибыльной, как раньше.

Kiteworks (ранее Accellion), поставщик решений для безопасного обмена данными, в минувшие выходные призвала своих клиентов отключить серверы в ответ на достоверную информацию об угрозах, полученную от федеральных разведывательных органов (!). Компания при этом заявляет, что эта мера была принята в качестве предосторожности и что у нее нет доказательств взлома систем Kiteworks или систем клиентов. В сообщении для клиентов, разосланном в пятницу, компания рекомендовала провести «девятичасовое превентивное отключение» локальных и размещенных клиентами экземпляров, отметив, что хакеры могут использовать 0-day в ее продуктах. Позже в воскресенье компания объявила об отмене своей предыдущей рекомендации по отключению для всех клиентов и о том, что они могут снова подключить свои системы к сети. В заявлении Kiteworks не уточнялось, в чем именно заключалась угроза, однако компания сообщила в электронных письмах своим клиентам, что причиной отключения стал серьезный уязвимый компонент в ее продукте для безопасного сбора данных Advanced Forms. Причем Advanced Forms включена менее чем у 1% наших клиентов, то есть менее чем в 50 организациях, и уязвимость затрагивает только этот продукт. Все остальные продукты, включая DPE, средства для совместной работы с файлами, передачу файлов, шифрование электронной почты, API и MFT, не затронуты. Компания также заявила, что у нее нет доказательств того, что уязвимость была использована злоумышленниками, а сама она уже на связи с «отраслевыми партнерами, включая Mandiant, для обмена информацией об угрозе».

Google в лице Mandiant и GTIG предупреждает о новой массовой кампании ShinyHunters, которой удалось модифицироваnm свой эксплойт для новых атак, нацеленных на уязвимость PeopleSoft. Комплексное ПО для планирования ресурсов предприятия (ERP) PeopleSoft используется во многих крупных компаниях для управления основными бизнес-функциями, включая финансы, управление персоналом, расчет заработной платы и цепочку поставок. При этом заявление Google прозвучало спустя четыре месяца после того, как впервые стало известно об использовании хакерской группой 0-day в PeopleSoft, отслеживаемой как CVE-2026-35273, для удаленного выполнения кода без аутентификации. Тогда в июне ShinyHunters (UNC6240) атаковала более 100 клиентов PeopleSoft, среди подтвержденных жертв - Ноттингемский университет в Великобритании, группа регуляторов страхового рынка NAIC и Nissan. Новая волна активности связана с тем, что UNC6240 модифицировал свой эксплойт для обхода правил брандмауэра веб-приложений (WAF), блокирующих уязвимую конечную точку Environment Management Hub (PSEMHUB). Причем, в ходе недавней атаки на ФБР США хакеры ShinyHunters заявили, что использовали 0-day в PeopleSoft. Возможно, хакеры имеют в виду именно эту модифицированную уязвимость, а не новую уязвимость нулевого дня. Как сообщает Google, если первоначальная кампания ShinyHunters была сосредоточена на секторе образования, то новая волна атак распространилась на сельское хозяйство, госучреждения, здравоохранение, ИТ, технологические компании и транспортные организации. В рамках новой кампании хакеры развертывают веб-оболочки на десятках систем, обходя правила WAF с помощью %50, закодированной в URL-адресе формы символа P, в пути запроса, содержащем строку /PSEMHUB. Многие правила WAF и обратного прокси-сервера сопоставляют буквальный путь до декодирования URL, в то время как сервер приложений PeopleSoft декодирует запрос и направляет его уязвимому сервлету. Как полагает Google, это позволяет злоумышленнику получить доступ к конечной точке в системах, операторы которых могли полагать, что их правила WAF снизили риск. Злоумышленники либо отправляли множество POST-запросов для доступа к веб-оболочкам в средах с балансировкой нагрузки, вероятно, для обеспечения развертывания копии веб-оболочки на каждом узле WebLogic, либо отправляли POST-запросы, которые возвращали вывод команд непосредственно в HTTP-ответе для запуска процессов оболочки. Mandiant и GTIG наблюдали, как хакеры обеспечивали постоянное присутствие в системе с помощью двух взаимодополняющих однострочных веб-оболочек JSP и развертывали бэкдор SideEye на серверах Windows для кражи учетных данных из браузеров и приложений, управления файлами и процессами, а также получения возможностей обратной оболочки и обратного прокси. Кроме того, злоумышленники использовали инструментарий туннелирования с открытым исходным кодом Neo-reGeorg для горизонтального перемещения, а также платформу удаленного управления с открытым исходным кодом MeshCentral. Они выполняли команды с правами root или System для обнаружения хостов и пользователей, а также проверки процессов. Использовали учетные записи служб PeopleSoft и WebLogic для получения доступа к данным приложений, файлам конфигурации и строкам подключения к базе данных. Клиентам PeopleSoft рекомендуется установить исправления Oracle для CVE-2026-35273, дабы повысить безопасность своих сред, ориентироваться на актуальные IOCs для выявления потенциальных атак и кражи данных, а также морально подготовиться к вымогательству.

💚 Три зарубежные дочерние компании «Лаборатории Касперского» перешли под контроль 🇦🇪дубайской компании Investikas Holding Limited Как сообщает РБК, «Лаборатория Касперского» начала переводить зарубежные активы из владения британской Kaspersky Labs Limited в дубайскую Investikas Holding Limited, зарегистрированную летом 2025 года в свободной экономической зоне Meydan. Переход швейцарской и чешской структур подтверждается коммерческими реестрами этих стран, а смена формы французского подразделения зафиксирована в официальном бюллетене BODACC, где единственным акционером, по данным представителя «Лаборатории Касперского», стала та же Investikas. Параллельно в марте 2026 года в России было зарегистрировано ООО «Инвестикас», где 92% принадлежит Евгению Касперскому, а 8% — Вадиму Богданову. Те же лица выступают конечными бенефициарами дубайской компании. В «Лаборатории Касперского» подтвердили, что компания «находится в процессе изменений, направленных на переход от вертикально интегрированного холдинга к географически диверсифицированной структуре». Теперь структуры группы связывают общие конечные владельцы, а британское юридическое лицо продолжат использовать только до момента исчерпания операционной необходимости, после чего ликвидируют. Реорганизация проходит на фоне регуляторного давления со стороны США, хотя в самой компании отрицают связь с решением американских властей. В июне 2024 года Министерство торговли США включило британскую Kaspersky Labs Limited в ограничительный список Entity List, запретив поставку американских технологий с формулировкой «за сотрудничество с российскими военными и разведывательными органами». В сентябре 2025 года американское ведомство распространило действие правил Entity List на любые аффилированные структуры, где лицам из этого списка прямо или косвенно принадлежит от 50%. При этом речь идёт только об экспортных ограничениях, а не о блокировке активов. Международный бизнес компании показывает финансовый рост. Глобальная выручка за 2025 год увеличилась на 4% и достигла $836 млн. В 2023 году «Лаборатория Касперского» подписала соглашение с китайским производителем тонких клиентов Centerm о предустановке программного обеспечения на базе KasperskyOS. В августе 2024 года компания заявила о планах построить центр обработки данных на юге Китая, а в августе 2026 года в Гуанчжоу представила продукт для защиты систем искусственного интеллекта Kaspersky AI Protect. ✋ @Russian_OSINT

Новый ботнет под названием Carbonato нацелен на незащищенные хосты Docker с целью установки фреймворка Hermes Agent AI и получения контроля над системой. Вредоносная ПО обладает червеобразными свойствами и была обнаружена в реестре Docker, содержащем около 60 репозиториев и 4,3 ГБ данных образов. Исследователи ThreatDown проанализировали артефакты за период с октября 2024 года по август 2026 года. Архив также содержал подробную информацию о ботнете и отдельной кампании по распространению поддельных приложений для криптокошельков. По данным ThretDown, Carbonato распространяется по хостам Docker, предоставляя API через порт 2375 без аутентификации. Вредоносная ПО подключается к этому API и дает указание демону запустить привилегированный контейнер, предоставляя ему доступ к хосту. Затем скрипт открывает обратный SSH-туннель, устанавливает SSH-сервер с ключом оператора и сообщает о новом развертывании через Telegram. Одновременно скрипты настраивают задания cron, таймеры systemd, rc.local и хуки OpenRC для обеспечения постоянного доступа. Примечательным аспектом атаки является то, что на хостах установлена платформа для работы с ИИ-агентами Hermes Agent, использующая агента с именем GH0ST, инструкции которого перезаписывают стандартный файл описания пользователя SOUL.md. В последнее время Hermes активно используется в киберпреступности. Как мы уже сообщали, недавно Gambit задокументировала масштабную операцию по скиммингу банковских карт, в результате которой были украдены данные 600 000 кредитных карт. В случае с Carbonato, Hermes обрабатывает команды, полученные через Telegram, включая сбор ключей API для ИИ, учетных данных SSH, токенов доступа и других данных, выполнение команд и отправку результатов обратно. Исследователи описывают это как управляемый оператором процесс, включающий обмен данными в рамках «интерактивного цикла команд». Модель интерпретирует задачу, записывает команды терминала, считывает выходные данные и решает, что делать дальше. Агент выполняет команды и отправляет отчет в чат Telegram, в который также поступают отчеты о развертывании. Червеобразные свойства вредоносной ПО позволяют ей распространяться на другие открытые демоны Docker, а её обработка осуществляется с помощью скриптов, которые сканируют сети, подключенные к хосту, каждые пять минут. Каждый новый инцидент приводит к удалению имплантата из реестра, запуску того же самого привилегированного контейнера и включению в цикл обеспечения постоянного присутствия и сканирования. ThreatDown не удалось отнести Carbonato ни к одному из известных кластеров угроз, но, основываясь на различных доказательствах, указывает на Коста-Рику как на возможное местонахождение оператора. Для предотвращения заражения исследователи рекомендуют не использовать API демона Docker в сети и требовать аутентификацию в реестрах. Признаками атак Carbonato являются файл с именем пользователя GH0ST, параметр CARBONATO_API_KEY, неожиданный трафик в Telegram и обратные SSH-туннели в сторону AS262145.

Исследователи BI.ZONE сообщают об обнаружении LxBase RAT, который впервые задействован в атаках на российские компании через с использованием многоступенчатой цепочки загрузчиков. С июля по сентябрь 2026 года Бизоны зафиксировали массовые фишинговые рассылки с трояном удаленного доступа LxBase RAT, имитирующие деловую переписку сотрудников казахстанских компаний. За этот период было заблокировало 111 писем в рамках кампании. Причем одно из них злоумышленники отправили даже на корпоративный адрес info@bi.zone. Письма содержат вредоносные архивы, замаскированные под документы, связанные с фиктивными приказами или запросами на предоставление ценовых предложений. Такой подход повышает достоверность сообщений и вероятность того, что получатели будут с ними взаимодействовать. Целями злоумышленников стали российские компании из различных отраслей, включая финансовый сектор, инженерию, промышленность, энергетику, ритейл, сельское хозяйство, логистику, строительство и IT. Ранее LxBase RAT не был замечен в атаках на организации из РФ. Для доставки LxBase RAT в скомпрометированные системы атакующие использовали обфусцированные JavaScript‑загрузчики, упакованные в RAR‑архивы с расширением .tar. LxBase RAT - троян удаленного доступа с широким набором функциональных возможностей. Он управляет скомпрометированной системой, а также позволяет похищать данные из большого количества приложений, поддерживает функциональность HVNC и имеет встроенный кейлоггер. Для взаимодействия с С2 используется собственный протокол, работающий поверх TCP. Каждый пакет данных начинается с однобайтового идентификатора команды, за которым следует четырехбайтовое поле длины, после чего располагается нагрузка в виде массива байтов. Злоумышленники используют многоступенчатую цепочку доставки LxBase RAT, включающую RAR‑архив, JS‑ и PowerShell‑загрузчики, а также DLL.NET‑сборку. На конечном этапе нагрузка LxBase RAT внедряется в легитимный процесс MSBuild.exe, что позволяет замаскировать ее выполнение под активность доверенного системного компонента и затруднить обнаружение. Анализ информации из теневых ресурсов показал, что LxBase RAT распространяется по модели MaaS и предлагается под названием LX RAT вместе с криптором LX Crypter. В целом, LxBase RAT демонстрирует низкий порог входа для злоумышленников. Подписка на MaaS стоит 119 долл. в месяц и предоставляет доступ к полнофункциональному трояну, а также криптору для обхода средств защиты. Таким образом, за относительно небольшую плату злоумышленники получают готовый набор инструментов для проведения атак и повышения их скрытности. Технические подробности - в отчете.

Криптобиржу Bitget обчистили, предположительно, северокорейские хакеры, которым удалось выкрасть на этот раз почти 351,6 млн. долл. Холодные кошельки и подавляющее большинство активов платформы при этом остались в безопасности. Компания обнаружила утечку данных в четверг вечером после того, как ее системы безопасности зафиксировали многочисленные несанкционированные переводы из ограниченного числа криптокошельков. Bitget приостановила все операции по выводу средств на время расследования инцидента при содействии правоохранительных органов и экспертов по ИБ из Mandiant и SlowMist. При этом собственный кошелек Bitget Wallet не пострадал, поскольку работает на инфраструктуре, независимой от Bitget Exchange, и не был затронут атакой. При этом заявлено, что Фонд защиты пользователей (с депозитом в 5500 BTC или около 464 млн. долл.) покроет все убытки. Компания пока не предоставила более точной информации о том, как злоумышленники получили доступ к ее ключевой системе бэкэнда и как им удалось запустить процесс авторизации/переводов. Гендиректор Bitget Грейси Чен отметила, что инцидент затронул блокчейны Ethereum, XRP Ledger, Arbitrum, Avalanche, Optimism, BSC и Base и повлиял на множество активов, включая ETH, XRP (зафиксированы наибольшие потери), BNB, AVAX, USDT, USDC и другие токены. Чен добавила, что некоторые блокчейн-сети также подтвердили, что адреса кошельков хакеров были заморожены после атаки, и связали кражу с северокорейскими хакерами. На основе анализа IP и данных блокчейна, метод атаки в этом инциденте в значительной степени соответствует известным схемам северокорейских хакеров. Злоумышленник взломал критически важную внутреннюю систему нашей инфраструктуры кошельков, использовал её для подделки транзакций и запустил процесс авторизации для вывода средств. Конкретный метод взлома системы находится в стадии активного расследования. В своем уведомлении Bitget сообщила о возобновлении вывода средств сразу после того, как исследователи подтвердят безопасность платформы. Безусловно, превзойти абсолютный рекорд в 1,5 млрд. долл. как в случае с Bybit, киберподполью пока не удалось, тем не менее почти 4 сотни млн. долл. вполне можно зачесть за рекорд этого года.