Новости инфобезопасности - ФСТЭК

Троян ToxicPanda научился отключать защиту Android и захватывать ADB 24 августа. / anti-malware.ru /. Банковский троян ToxicPanda получил серьёзный апгрейд: теперь он отслеживает 349 финансовых и криптовалютных приложений в 16 странах, поддерживает 167 удалённых команд и способен самостоятельно добраться до системной оболочки Android. По данным Zimperium, ToxicPanda 2.0 запрашивает разрешение на создание локального VPN. Через него зловред контролирует сетевой трафик и блокирует соединения Google Play и Google Play Services. Это может помешать проверкам приложений, обновлениям и обмену данными с Play Protect. После установки полезной нагрузки вредонос выпрашивает доступ к специальным возможностям. Он накладывает невидимые окна поверх 349 приложений и перехватывает нажатия, а отдельный модуль собирает ПИН-коды из 140 финансовых сервисов. Также ToxicPanda подделывает экран блокировки Android, крадёт пароли и графические ключи и прикрывает свои действия фальшивым системным обновлением. Самая интересная функция — автоматический захват беспроводного ADB. Троянец самостоятельно включает режим разработчика и отладку по Wi-Fi, считывает шестизначный код сопряжения и подключается к локальной службе ADB. Получив шелл-доступ, он выдаёт себе дополнительные разрешения и отключает ограничения фоновой работы. Распространяется ToxicPanda 2.0 через файлы в хранилищах Amazon AWS. Индикаторы компрометации опубликованы в репозитории Zimperium.

Обзор кибератак и уязвимостей за прошедшую неделю: 17-21 августа 2026 года 21 августа. / КИБЕР МЕДИА /. Редакция Кибер Медиа собрала главные события этой недели из мира кибербезопасности. В этот раз главными темами стали рост числа атак через цепочки поставок, развитие теневого рынка киберпреступности, новые инциденты с корпоративной инфраструктурой и усиление внимания к практической подготовке специалистов по информационной безопасности. Также эксперты продолжили обсуждать последствия усложнения кибератак и рост требований к защите цифровых систем. Доля supply-chain-атак выросла в 2,5 раза В первом полугодии 2026 года доля атак через цепочки поставок ПО среди значимых облачных инцидентов выросла с 10% до 25%. Рост связан с увеличением числа внешних компонентов, библиотек и автоматизированных процессов разработки, которые становятся новой точкой входа для злоумышленников.  Теневой рынок перешел к продаже готовых комплектов для атак Исследование «Threat Zone 2026: обратная сторона» показало, что киберпреступники все чаще предлагают комплексные сервисы вместо отдельных инструментов. Особенно вырос спрос на корпоративные доступы, которые продаются вместе с подробным описанием инфраструктуры жертвы и уровня полученных прав. Авторы исследования отметили, что рынок киберпреступности становится более профессионализированным. Минцифры предложило передавать сети лишившихся лицензии провайдеров крупным операторам В России обсуждается механизм передачи инфраструктуры и абонентской базы провайдеров, которые потеряли лицензии, федеральным операторам связи. Инициатива является частью масштабной реформы лицензирования рынка связи.  Финал CTFZone прошел без интернета и доступа к ИИ В финале CTFZone 2026 участники восемь часов решали задачи по кибербезопасности полностью без доступа к интернету и языковым моделям. В соревновании приняли участие десять сильнейших команд, которым пришлось полагаться только на собственные навыки анализа уязвимостей и эксплуатации. Кибератака нарушила работу университета в Техасе Атака на Техасский университет в Сан-Антонио привела к отключению части цифровых сервисов и переносу начала учебного года. Более 40 тыс. студентов столкнулись с недоступностью почты, телефонии и личных кабинетов. Эксперты разобрали возможные причины инцидента и риски для образовательных организаций.

HTTP/3 должен был всё ускорить — вместо этого он открыл новый способ атаки 21 августа. / securitylab.ru /. Найден способ использовать инфраструктуру CDN против защищаемых ею сайтов. Технология, которая должна ускорять загрузку сайтов, может многократно усилить направленный на них вредоносный трафик. Группа ученых описала две новые DoS-атаки на сети доставки контента (CDN), позволяющие использовать инфраструктуру провайдера против защищаемого сайта. В некоторых условиях трафик усиливается примерно в 350 раз. Исследование получило название CDN Tsunami. Проблема возникает из-за разницы протоколов на двух участках соединения. Пользователь может обращаться к CDN по современному HTTP/3, однако между CDN и исходным сервером шесть проверенных провайдеров используют HTTP/1.1. CDN приходится преобразовывать запросы из одного формата в другой. Авторы показали, что злоумышленник способен заставить CDN расходовать при таком преобразовании значительно больше ресурсов исходного сервера. Первый вариант авторы назвали HTTP/3 Bandwidth Amplification (HBA). HTTP/3 сжимает заголовки с помощью QPACK и может передавать вместо повторяющихся данных короткие индексы. HTTP/1.1 такого механизма не имеет, поэтому CDN разворачивает компактные записи обратно в полные заголовки, прежде чем отправить запрос серверу. Небольшой поток со стороны злоумышленника в результате превращается в гораздо больший поток к исходному серверу. В испытаниях трафик усилился примерно в 350 раз, когда специалисты задействовали динамическую таблицу QPACK. Пик наблюдался примерно при 64 параллельных потоках. Для трех CDN, которые поддерживают такую таблицу, атакующей стороне требовалось менее 500 Кбит/с, тогда как нагрузка на тестовый сервер превышала 100 Мбит/с. Второй вариант, HTTP/3 Connection Amplification (HCA), атакует не пропускную способность, а доступные соединения. HTTP/3 позволяет передавать множество потоков внутри одного соединения. Пять из шести проверенных CDN сразу открывали отдельные соединения HTTP/1.1 с исходным сервером, как только получали заголовки. Медленно передавая оставшиеся данные, злоумышленник может удерживать такие соединения открытыми и исчерпать их допустимое число. Специалисты проверили Alibaba, Baidu, Cloudflare, Amazon CloudFront, Fastly и Tencent. Все шесть оказались подвержены HBA, пять из шести – HCA. Cloudflare избежала второго варианта, поскольку сначала получает запрос целиком и лишь затем устанавливает соединение с исходным сервером. Специалисты проверили список Tranco Top 1M и выявили 151 685 поддоменов за затронутыми CDN, причем 42 330 из них соответствовали условиям потенциальной атаки. Авторы сообщили результаты всем шести провайдерам. Baidu и Tencent подтвердили проблемы, выплатили вознаграждения и внедрили предложенные меры защиты. Tencent, в частности, ограничила число соединений между CDN и исходным сервером и размер заголовков в динамической таблице. Для защиты специалисты предлагают ограничивать развернутый размер запросов и коэффициент усиления, не открывать соединение с сервером, пока не получен полный запрос, а также вводить независимые ограничения времени и количества таких соединений.

📚Банки РФ наращивают расходы на кибербезопасность 21 августа. / КИБЕР МЕДИА /. По оценкам системного интегратора «Информзащита», расходы банков на информационную безопасность в 2026 году могут достигнуть 43–45 млрд руб. и это на 10–15% больше, чем годом ранее. Эксперт «Группы Астра» Андрей Кузнецов отметил, что системы резервного копирования являются важным элементом в вопросе кибербезопасности для банков. По оценкам «Информзащиты», наиболее активный сегмент с точки зрения изменения ИБ-бюджета — это средние банки. Их расходы вырастут на 25–35%, до 7,5–8 млрд руб. У крупнейших банков рост будет умеренным — примерно 10–12%, до 28–29 млрд руб. При этом небольшие банки вряд ли серьезно увеличат бюджет. Расходы могут остаться на уровне 2025 года или показать незначительный рост в пределах примерно 5%, до 7 млрд руб., Коммерсантъ. Прогнозируется, что изменится и структура трат: если раньше банки тратились на выполнение нормативных требований и импортозамещение, то в этом году в первую очередь на интеграцию уже приобретенных решений, а также на повышение качества обнаружения и реагирования на атаки и на защиту новых цифровых технологий. Андрей Кузнецов, генеральный директор ООО "РуБэкап" (входит в "Группу Астра") говорит, что системы резервного копирования помогают банкам решать задачу кибербезопасности, смещая фокус с попытки предотвратить 100% атак, что невозможно, на гарантированное восстановление после инцидента. «Уверен, что в условиях роста бюджета на 10–15% именно инвестиции в современные, неизменяемые и автоматизированные СРК обеспечивают максимальную защиту от катастрофических финансовых и репутационных потерь, превращая кибербезопасность из центра затрат в гарант непрерывности бизнеса», — говорит эксперт Кузнецов.

Безопасность тянет карман 20 августа. / КОММЕРСАНТ /. Зарплаты экспертов по ИБ выросли почти на 40%. Зарплатные предложения в сфере кибербезопасности выросли за полгода заметно больше, чем в ИТ в целом,— на 40%. По данным hh.ru, сейчас работодатели готовы предложить экспертам по защите инфраструктуры до 400 тыс. руб. По мнению экспертов, рост зарплат в информационной безопасности (ИБ) обусловлен вступлением в силу новых положений об ответственности профильных руководителей за защиту. “Ъ” ознакомился с данными рекрутингового сервиса hh.ru по динамике зарплат в области кибербезопасности в России. Так, согласно данным платформы, средняя зарплата в сфере информационной безопасности за первую половину 2026 года выросла на 40% относительно первого полугодия 2025 года — с 82,8 тыс. до 115,6 тыс. В ряде случаев предложения достигают 400 тыс. руб., «при сочетании уникальной экспертизы и опыта». Всего за первое полугодие, по данным hh.ru, в России было открыто 13,7 тыс. вакансий в сфере кибербезопасности. Чаще всего это предложения для специалистов по защите данных и ИТ-инфраструктуры (42%), а также профильных директоров (32%). В топ-5 по востребованности у работодателей вошли DevSecOps и AppSec-специалисты, отвечающие за раннее обнаружение уязвимостей и защиту приложений, архитекторы ИБ и непосредственно разработчики ИБ-решений. Как объясняют представители платформы, «компании готовы вкладываться в защиту от киберугроз, в том числе через привлечение квалифицированных кадров». Наиболее стремительный рост зарплатных предложений — в сегменте DevSecOps и AppSec-специалистов, сразу на 20%, до 275 тыс. руб., говорит директор по исследованиям hh.ru Мария Игнатова. При этом заработная плата в сфере информационных технологий в целом рост в этом году почти не показывает. Так, медианная зарплата ИТ-специалистов в первой половине 2026 года — 191 тыс. руб., по данным «Хабр Карьеры», что на 4% больше, чем во втором полугодии 2025 года. Годом ранее рост составил всего 2%. В годовом выражении зарплаты в отрасли выросли ниже инфляции (в 2025 году 5,6%, по данным Росстата). В начале года представители отрасли объясняли, что компании пересматривают и сокращают ИТ-бюджеты, растет неопределенность, из-за чего бизнес осторожнее подходит к найму и пересмотру зарплат (см. “Ъ” от 9 февраля). Исследование же компании «Инфосистемы джет» показало, что к середине лета треть студентов, которые учатся по направлению «кибербезопасность», рассчитывают в начале карьеры получать от 60 тыс. до 100 тыс. руб. в месяц, а 16% ожидают стартовый доход от 100 тыс. до 150 тыс. руб. Сам рынок кибербезопасности в 2025 году достиг 364,4 млрд руб. Рост по отношению к 2024 году составил 16%, и при сохранении темпов сегмент должен к 2031 году превысить 1 трлн руб. (см. “Ъ” от 1 июня). За год количество вакансий в сфере информационной безопасности практически не изменилось: минус 5% по России, приводят данные в Superjob. Для сравнения: рынок труда в целом показал снижение на 18%, ИТ-сфера — минус 20%, говорят в компании. Количество же резюме в кибербезопасности выросло на 16%, в ИТ — на 24%, а на рынке в целом — на 32%. «Кибербезопасность — одна из немногих сфер деятельности, для которой в 2026 году характерна устойчивость спроса на кадры»,— добавили в компании.

📚Вирус можно получить, просто открыв «фотографию». Китайские хакеры атакуют дипломатов Мьянмы 20 августа. / securitylab.ru /. Вы открываете приглашение на церемонию — и запускаете скрытый бэкдор на своём компьютере. Дипломатам и госслужащим Мьянмы под видом обычного изображения рассылали файл, который устанавливал на компьютер скрытый инструмент удалённого управления. Специалисты Seqrite связали кампанию Operation QUICSILVER с действующей в интересах Китая группировкой, хотя оценивают такую связь лишь со средней уверенностью. Приманкой служило приглашение на церемонию выпуска от имени Департамента информационных технологий и кибербезопасности Мьянмы. Документ на бирманском языке приглашал получателя на мероприятие 3 июля 2026 года в здании Министерства транспорта и связи в Нейпьидо. Однако файл TrainingAnnouncement.jpg оказался не изображением, а виртуальным жёстким диском VHD. Когда пользователь подключал диск, он видел TrainingAnnouncement.pdf с привычным значком PDF. На самом деле перед ним находился ярлык Windows LNK. При открытии ярлык запускал штатную программу ftp.exe и передавал ей локальный сценарий с командами. Параллельно жертве показывали настоящий документ-приманку, поэтому подозрительная активность могла остаться незамеченной. В скрытом каталоге находились файлы header.doc и body.doc. Сценарий объединял их штатной командой Windows copy /b и собирал исполняемый файл Windowsupdate.exe в каталоге %LOCALAPPDATA%. Полученная программа представляла собой написанный на Go 1.20 бэкдор QUICAgent. Перед тем как подключиться к управляющему серверу, QUICAgent пытается затруднить автоматический анализ. Вредоносная программа делает случайную паузу от 100 до 600 мс и тысячу раз вычисляет SHA-256. Адрес управляющего сервера она получает через Cloudflare Workers, после чего связывается с ним по HTTP/3 через протокол QUIC на порту UDP 443. Передаваемые данные дополнительно шифруются алгоритмом RC4. После того как система заражена, QUICAgent собирает имя компьютера и имя вошедшего пользователя, а затем каждые пять секунд обращается к серверу. Оператор может выполнять команды в системе, просматривать каталоги, загружать и скачивать файлы, а также менять интервал соединений. Чтобы автоматически запускаться при входе пользователя, вредоносная программа создаёт ярлык SystemIn.lnk в папке автозагрузки Windows. Следы, случайно оставленные злоумышленниками в корзине виртуального диска, помогли установить возможные цели. Среди удалённых файлов специалисты нашли документы об АСЕАН, БИМСТЕК, заседаниях ООН, внешней политике Малайзии и дипломатической деятельности Мьянмы. Два документа имитировали конфиденциальные материалы Министерства иностранных дел Мьянмы. Seqrite проследила активность как минимум до апреля 2026 года. Первая известная версия использовала файл HolidayNotice.pdf.exe с поддельным календарём бельгийско-мьянманских праздников и, вероятно, предназначалась сотрудникам бельгийских посольств или неправительственных организаций в Мьянме. В июле появилась ещё одна приманка ACMECS_Pillar_1.vhd с тем же механизмом заражения, QUICAgent и общей серверной инфраструктурой. Связь Operation QUICSILVER с Китаем специалисты оценивают со средней уверенностью. Помимо выбора целей и найденных дипломатических документов, на такую связь указывает совпадение имени компьютера разработчика и цепочки заражения с ранее изученной кампанией Operation GriefLure. При этом новая операция использует другую серверную инфраструктуру и новую версию бэкдора.