Information Security News - FSTEC

Kaspersky GReAT: на торрент-трекерах под видом «Одиссеи» и других популярных фильмов распространяется вредоносное ПО 17 сентября. / КИБЕР МЕДИА /. Эксперты Kaspersky GReAT обнаружили новую многоэтапную вредоносную кампанию. Она продолжается как минимум с середины августа и затрагивает как частных пользователей, так и организации. Через скомпрометированные торрент-трекеры под видом популярных фильмов, в том числе «Одиссеи», распространяется ранее неизвестное вредоносное ПО. Жертвами кампании могли стать как минимум несколько сотен пользователей и организаций в разных странах. По данным телеметрии «Лаборатории Касперского», наибольшее число потенциальных жертв зафиксировано в России. Кампания также затронула пользователей и организации в Турции, Японии, Кении, Уганде, Колумбии, Испании, Нидерландах, Бельгии, Германии и других странах. В числе отраслей, где фиксировались попытки заражения, — ИТ, консалтинг, розничная торговля, транспорт и сельское хозяйство. Многоэтапная атака. На начальном этапе вредоносное ПО использует загрузчик, способный обнаруживать так называемые «песочницы» — изолированные тестовые среды, в которых защитные продукты проводят безопасный анализ подозрительных файлов. Благодаря загрузчику зловред умеет определять, попал ли он в такую песочницу. Если да, он может избежать обнаружения или затруднить дальнейший анализ. Как только вредоносное ПО активируется на устройстве жертвы, оно развёртывает дополнительные модули, расширяющие его возможности. Эти модули позволяют ему сохраняться в системе даже если его удалить, обходить систему контроля учётных записей пользователей (UAC) для получения прав администратора в Windows без появления стандартного предупреждения и, в конечном итоге, открывать удалённый доступ к скомпрометированному устройству. Для получения адреса своего управляющего сервера вредоносное ПО использует блокчейн-сеть Solana. Это позволяет злоумышленникам сохранять контроль над своей инфраструктурой, в результате атаку гораздо сложнее заблокировать. «Особенность этой кампании — в сочетании распространённой приманки и сложной технической реализации. Маскируя вредоносное ПО под торренты с популярными фильмами, злоумышленники повышают вероятность того, что пользователи его скачают. После запуска зловред способен уклоняться от обнаружения, закрепляться в системе и предоставлять атакующим удалённый доступ к заражённому устройству. Пользователям следует с особой осторожностью относиться к файлам из неофициальных источников: даже внешне безобидный развлекательный контент может использоваться для взлома устройства», — комментирует Павел Черёмушкин, старший эксперт по безопасности Kaspersky GReAT. Защитные решения «Лаборатории Касперского» детектируют и блокируют это вредоносное ПО. Полный технический анализ доступен на securelist.ru.

Новый ИИ-троян RatHat обходит защиту Android через ADB и остается в системе даже после удаления 18 сентября. / КИБЕР МЕДИА /. Новый ИИ-троян RatHat обходит защиту Android через ADB и остается в системе даже после удаления. Специалисты по безопасности компании Zimperium обнаружили сложный Android-вредонос RatHat, связываемый с китайскими группировками. Троян использует генеративный искусственный интеллект для навигации по интерфейсу и злоупотребляет режимом отладки по Wi-Fi (ADB), что позволяет ему полностью выйти из стандартного песочника Android и получить права уровня shell. Инфекция распространяется через смс-фишинг и вредоносную рекламу. Попадая на устройство под видом легального приложения, RatHat через службы доступности самостоятельно включает параметры разработчика, активирует беспроводную отладку и извлекает шестизначный код сопряжения ADB. Получив привилегии системного уровня, троян разворачивает фоновые демоны, перехватывает смс-сообщения, данные ввода и учетные записи, а также считывает нажатия на экран на аппаратном уровне. Для точной навигации по интерфейсу вредонос сериализует древо элементов экрана в XML и передает его ИИ-модели, которая вычисляет координаты для фантомных нажатий и управления экраном. Главная опасность RatHat заключается в его живучести: даже если пользователь полностью удалит зараженное приложение, созданный фоновый сервис сохранит доступ к системе через ADB и при необходимости скрытно установит троян повторно. Для защиты устройств эксперты рекомендуют отказаться от загрузки сторонних APK-файлов, отключить отладку по Wi-Fi и регулярно проверять список приложений, имеющих доступ к спецвозможностям.

📚5G есть, а iPhone молчит: Минцифры ведет переговоры с Apple об активации связи 18 сентября. / securitylab.ru /. Сети пятого поколения уже работают в 16 городах, однако смартфонам Apple требуется разрешение производителя. Владельцы iPhone в России пока не смогут воспользоваться недавно запущенными сетями 5G, несмотря на техническую поддержку связи пятого поколения в современных смартфонах Apple. Минцифры ведет переговоры с американской корпорацией об активации 5G для российских операторов, сообщил глава ведомства Максут Шадаев. По словам министра, стороны обсуждают возможность подключения российских пользователей iPhone к сетям пятого поколения. Сроки возможной активации 5G на смартфонах Apple Шадаев не назвал. Первые коммерческие сети 5G заработали в России 11 сентября. На начальном этапе связь пятого поколения запустили в 16 городах, включая Москву, Санкт-Петербург и Екатеринбург. Услуги предоставляют МТС, «Билайн», «МегаФон» и Т2, однако набор доступных операторов различается в зависимости от города. В зоне запуска живут около 10 млн человек, а до конца 2026 года Минцифры рассчитывает расширить присутствие 5G еще на 50 городов. Владельцы совместимых Android-смартфонов, согласно планам Минцифры, смогут подключаться к новым сетям в ближайшее время. С iPhone ситуация сложнее, поскольку одной поддержки необходимых частот самим смартфоном недостаточно. Apple должна разрешить работу устройства в сети конкретного оператора после проверки совместимости и соответствующей настройки программного обеспечения. Apple указывает, что для работы 5G на iPhone необходимы iPhone 12 или более новая модель, оператор с поддержкой сети пятого поколения и соответствующий тариф. На странице Apple с перечнем возможностей российских операторов поддержка 5G для России сейчас не указана. Переговоры с Apple параллельно ведет Т2. Оператор сообщил РИА Новости, что отсутствие авторизации российской сети со стороны Apple влияет на использование смартфонов компании и что Т2 пытается решить вопрос вместе с производителем. МТС также заявила, что отсутствие поддержки 5G на iPhone и некоторых устройствах других зарубежных брендов снижает конкурентоспособность таких смартфонов на российском рынке. 📲 Подписывайтесь на наш канал в МАХ!

🔸Украинский программист получил 13 лет тюрьмы. Суд поставил точку в деле LockerGoga 17 сентября. / securitylab.ru /. Исходники на компьютере оказались весомее версии о безобидной разработке. Пять лет следствия превратили спор о границе между разработкой ПО и участием в вымогательстве в один из самых заметных киберуголовных процессов Швейцарии. Окружной суд Цюриха приговорил 52-летнего гражданина Украины к 12 годам и 9 месяцам лишения свободы и назначил десятилетнее выдворение из страны. Тюремный срок оказался на девять месяцев больше, чем просило обвинение. Суд установил, что подсудимый разрабатывал ключевые компоненты LockerGoga, MegaCortex и Nefilim и передавал вредоносное ПО другим участникам схемы. Организатором операций его не признали, однако техническую роль сочли центральной. По версии суда, именно другие участники выбирали компании для атак, координировали проникновения и требовали выкуп. Защита настаивала, что найденные у мужчины исходные коды относились к работе консультанта по информационной безопасности, а о преступном применении программ он якобы не знал. Суд эту версию отверг. Среди изъятых данных обнаружили не только код, но и материалы, связанные с вымогательством. Ранее ход процесса и доводы сторон разбирались перед вынесением приговора. Одним из ключевых эпизодов стала атака на швейцарского производителя поездов Stadler Rail в 2020 году. По материалам суда, злоумышленники похитили около 500 ГБ конфиденциальных данных и угрожали опубликовать их. Компания отказалась платить. В деле также фигурировали поставщик инженерных систем Meier Tobler и разработчик финансового ПО Crealogix. Совокупный ущерб от рассматриваемой серии атак прокуратура оценила примерно в 100 млн швейцарских франков. В сумму вошли простои, восстановление инфраструктуры и выплаты выкупов со стороны отдельных пострадавших. Обвинение также добивалось выдворения подсудимого из страны на 12 лет, тогда как суд назначил десять лет и оставил его под стражей до дальнейших решений. Мужчина находится под стражей с октября 2021 года. Его задержание связано с международным расследованием, в рамках которого правоохранители Швейцарии и Украины провели задержания участников сети, связанной с LockerGoga и MegaCortex. Европол тогда говорил о более чем 1800 пострадавших организациях в 71 стране, но цифра относится ко всей расследуемой сети, а не только к эпизодам нынешнего подсудимого. LockerGoga получила широкую известность после атаки на Norsk Hydro в 2019 году, которая остановила часть производственных и офисных систем алюминиевого концерна. MegaCortex и Nefilim продолжили ту же модель вымогательства, сочетая шифрование с давлением на компании. В 2022 году для LockerGoga и MegaCortex опубликовали бесплатные ключи расшифровки в рамках проекта No More Ransom. Параллельное дело продолжается в США. Министерство юстиции США обвинило Владимира Тимощука в администрировании LockerGoga, MegaCortex и Nefilim и связывает его с атаками на более чем 250 компаний в США и сотни организаций за их пределами. Тимощук остаётся в розыске, а американские власти предлагают до $11 млн за сведения, которые помогут задержать его или других ключевых участников. В конкретном деле суд не согласился с аргументом, что разработка кода была нейтральной услугой для неназванного клиента. На устройствах подсудимого нашли исходники вымогателей и связанные с шантажом материалы, а обвинение связало его работу с конкретными атаками. Суд при этом отдельно подчеркнул, что организатором преступной сети разработчик не был. Несмотря на жёсткий срок, юридическая точка пока не поставлена. Приговор от 10 сентября 2026 года не вступил в законную силу, и защита может обжаловать его сначала в Высшем суде кантона Цюрих, а затем в Федеральном суде Швейцарии. До решения по возможной апелляции 52-летний разработчик останется под стражей, где находится с момента задержания в 2021 году.

🔐 Уязвимости в системе безопасности могут привести к серьёзным последствиям для вашего бизнеса. JitSec - это автоматизированный пентест, который поможет вам находить и устранять уязвимости до того, как ими воспользуются злоумышленники. 🚀 Почему JitSec? * Автоматизация: запустите скан и получите отчёт без сложных настроек. * Точность: только подтверждённые находки, минимум ложных срабатываний. * Аналитика: приоритеты рисков, история изменений, блок для руководства. * Отчёты: в форматах JSON, HTML, экспорт в CSV - удобно передать заказчику. * Безопасность: сканируем только ваши домены, подтверждённые через DNS и meta-тег. 🛡️ Защитите свой бизнес с JitSec. Начните бесплатно и убедитесь в эффективности сервиса. Узнать больше о JitSec и выбрать подходящий тариф можно по ссылке: JitSec - автоматизированный пентест для бизнеса. Реклама. Нагорный Е.М. ИНН 471609951514.

Одно вредоносное расширение способно захватить ИИ-ассистентов в Chrome, Edge и Opera 17 сентября. / КИБЕР МЕДИА /. Одно вредоносное расширение способно захватить ИИ-ассистентов в Chrome, Edge и Opera. Исследователи в области кибербезопасности обнаружили архитектурную уязвимость, позволяющую всего одному вредоносному браузерному расширению перехватывать управление встроенными ИИ-помощниками в пяти популярных Chromium-продуктах, включая Chrome, Microsoft Edge, Opera Neon, Perplexity Comet и приложения на базе Claude. Проблема связана с тем, как браузные расширения взаимодействуют с локальными интерфейсами и API встроенных ИИ-ассистентов. Получив базовые разрешения в системе, вредоносный модуль может манипулировать запросами к нейросетям, внедрять скрытые промпты и перехватывать ответы ассистента в режиме реального времени. В ходе демонстрации концепта атаки экспертам удалось получить несанкционированный доступ к локальным файлам пользователя, датчикам устройства и конфиденциальным данным браузера, обрабатываемым ИИ. Эксплуатация векторных атак через расширения создает серьезную угрозу утечки пользовательских сессий, истории переписки и учетных данных. Специалисты отмечают, что с каждым годом разработчики браузеров все глубже интегрируют искусственный интеллект в веб-экосистему, однако механизмы изоляции прав для ИИ-компонентов пока остаются слабым звеном. Пользователям рекомендуется ограничить установку сторонних плагинов и тщательно проверять запрашиваемые разрешения.

📚Злоумышленники пытаются украсть учётные данные через поддельные уведомления от Zoom и Docusign 16 сентября. / КИБЕР МЕДИА /. Эксперты «Лаборатории Касперского» обнаружили фишинговую кампанию, в рамках которой злоумышленники рассылают на корпоративные адреса поддельные уведомления от имени Zoom и Docusign. Цель таких писем — получить учётные и личные данные пользователей, а в некоторых случаях — реквизиты банковских карт. Атаки затрагивают пользователей в разных странах мира, в том числе в России. В сентябре специалисты компании уже обнаружили более тысячи таких сообщений. Всего было зафиксировано две волны рассылки. В ходе первой злоумышленники маскировали свои послания под официальные сообщения компании Docusign на корпоративные адреса в России, Армении, Азербайджане, странах Ближнего Востока, Латинской Америки, Западной Европы. В них содержались фишинговые ссылки, предназначенные для кражи учётных данных. В ходе второй волны, которая продолжается до сих пор, злоумышленники имитируют уведомления от Zoom. В них пользователей предупреждают о якобы предстоящей блокировке их учётных записей либо о доставке нового входящего сообщения. В письмах содержатся либо фишинговые ссылки, перенаправляющие на страницы ввода учётных данных, либо вложения в формате pdf с формой, в которой требуется заполнить поля с личными данными и реквизитами банковских карт. «На фоне активного развития технологий и широкого распространения ИИ мы часто рассказываем о том, как распознавать сложные мошеннические рассылки и схемы. Однако злоумышленники продолжают использовать и старые, простые методы, и иногда именно они могут оказаться эффективными. В огромном потоке входящих почтовых сообщений сотрудники рискуют не заметить признаки фишинга, а мошенники специально выбирают бренды, широко распространённые в корпоративной среде, чтобы их рассылки были похожи на официальные. При этом даже такие простые техники должны выявляться специализированными защитными решениями, чтобы безопасность компании не зависела исключительно от человеческого фактора», — комментирует Андрей Ковтун, руководитель группы защиты от почтовых угроз в «Лаборатории Касперского».

В GitLab устранили критическую уязвимость, позволяющую читать файлы сервера 16 сентября. / КИБЕР МЕДИА /. Разработчики GitLab выпустили экстренное обновление безопасности для версий Community Edition и Enterprise Edition. Релиз исправляет ряд уязвимостей, наиболее опасная из которых получила максимальную оценку угрозы — 10 из 10 баллов по шкале CVSS. Брешь, зарегистрированная под идентификатором CVE-2026-85706, обнаружена в API коммитов репозитория. Из-за отсутствия обязательной аутентификации и ошибок при ограничении доступа к файловой системе неавторизованные атакующие могут считывать произвольные файлы сервера с помощью одного POST-запроса. Это позволяет злоумышленникам получать доступ к конфиденциальным данным, учётным записям и закрытой информации. Агентство по кибербезопасности и защите инфраструктуры США уже внесло CVE-2026-85706 в каталог известных эксплуатируемых брешей, подтвердив наличие реальных атак. Специалисты исследовательской компании watchTowr также зафиксировали первые попытки сканирования и эксплуатации уязвимости. Разработчикам и системным администраторам настоятельно рекомендуется незамедлительно обновить установки GitLab до версий 19.3.2, 19.2.6 или свежих патчей для ветки 19.1. В качестве временной меры ИБ-специалистам советуют проверить логи веб-серверов на наличие подозрительных POST-запросов к эндпоинту /api/v4/projects/{id}/repository/commits/ с параметром file.path.

В процессорах Intel и AMD нашли критическую уязвимость DDRop 15 сентября. / КИБЕР МЕДИА /. Исследователи раскрыли аппаратную уязвимость DDRop, которая взламывает архитектуры конфиденциальных вычислений в процессорах Intel TDX и AMD SEV-SNP. Метод позволяет незаметно блокировать запись данных в оперативную память сервера, заставляя процессор считывать устаревшую зашифрованную информацию под видом актуальной. Для проведения атаки злоумышленнику требуется физический доступ к оборудованию: между процессором и модулем памяти DDR5 устанавливается плата-перехватчик. Себестоимость такой детали составляет менее 160 долларов. Плата провоцирует ошибки на шине команд и перехватывает сигналы об их сбое. В результате процессор считает, что операция записи прошла успешно, хотя на деле в памяти остаются прежние данные. Используя эту брешь на сервере с Intel TDX, исследователи смогли получить полный контроль над изолированной виртуальной машиной. Им удалось прочитать её защищённую память, перевести систему в режим отладки для извлечения данных в открытом виде и сфальсифицировать подтверждение подлинности виртуальной среды. Исправление проблемы программными патчами невозможно, так как она кроется в самой архитектуре современных процессоров. Технологии Intel и AMD шифруют память, но не проверяют её «свежесть» ради высокой производительности. Чипмейкеры уже уведомлены об уязвимости, однако заявляют, что сценарии, требующие физического вмешательства в сервер, находятся за рамками их базовой модели угроз.