Information Security News - FSTEC

Ozon Банк раскрыл наиболее популярные у мошенников схемы обмана школьников 18 августа. / КИБЕР МЕДИА /. К 1 сентября эксперты Ozon Банка проанализировали несколько сотен уникальных фрод-кейсов, в которых несовершеннолетние теряли личные или родительские деньги. Статистика показывает, что современные киберпреступники полностью адаптировали свои схемы под интересы и увлечения подростков. Самой часто используемой схемой оказалась покупка товаров в мессенджерах и на непроверенных торговых площадках. На этот паттерн приходится 25% всех случаев. Подростки реагируют на цену ниже рынка и пытаются купить технику, одежду или игровые аккаунты, переводят предоплату после чего продавцы их блокируют. Вторая по популярности схема напрямую связана с онлайн-играми (15% случаев). Мошенники, знакомясь в чатах и пабликах, крадут деньги, обещая внутриигровую валюту, редкие скины, чит-коды или разблокировку аккаунтов. В подобных схемах задействованы переводы напрямую физлицам, такие операции сложнее оспорить и отменить в случае мошенничества, потребуется не только помощь банка, но и обращение в соответствующие органы или суд. Преступники активно используют невнимательность и доверчивость детей при пользовании популярными сервисами объявлений. Так, около 12% инцидентов приходятся на фишинг, хотя сами площадки проводят профилактику подобных случаев и призывают не переходить по внешним ссылкам. Злоумышленники отправляют детям ссылки на поддельные сайты, которые копируют известные ресурсы. Там жертвы сами вводят полные данные банковских карт, пытаясь оплатить покупку или ее доставку. Еще 10% кейсов связаны с обещаниями быстрого обогащения. Детям приходят сообщения о выигрышах крупных сумм или дорогой техники. Чтобы забрать приз, их просят оплатить «небольшую пошлину» или «комиссию». Сразу за этой схемой идут предложения легкого заработка (8%), где подростков втягивают в псевдо-инвестиции или виртуальную несложную «работу». Для того, чтобы получить оплату детей просят ввести данные карты. В такой схеме злоумышленники, если сразу не производят списаний с карты, могут даже поначалу делать небольшие выплаты жертвам, но затем выманивают уже крупные суммы для «активации счета» или под другими предлогами. Помимо внимательности разоблачить схему поможет также формат оплаты: цифровые и торговые платформы, под которые часто мимикрируют мошенники, не принимают оплату в виде перевода на конкретное физлицо. Если вам дают номер счета или просят перевести деньги по номеру телефона, перед вами злоумышленник. Часто причиной потери денег становится базовая беспечность. Около 7% детей теряют физические карты или платежные стикеры, после чего посторонние лица оплачивают ими покупки. В 6% случаев подростки сами отдают доступ к личным кабинетам банков, называя мошенникам коды из СМС или данные для входа. Классические звонки от «службы безопасности банка», «полиции» или «обеспокоенных родственников» для воздействия на детей мошенники используют реже (всего 4% случаев). Наиболее редкими остаются схемы с недобровольным предоставлением удаленного доступа к устройству, где есть приложение банка или демонстрацией экрана смартфона (3%) и покупкой криптовалюты (3%). 📲 Подписывайтесь на наш канал в МАХ!

📚Заражение до первого включения. Хакеры внедрили шпионский код прямо в установочные образы Windows 18 августа. / securitylab.ru /. GOFFEE годами сидела в российских компаниях незамеченной. Новый компьютер мог оказаться заражённым ещё до первого входа сотрудника и установки антивируса. Шпионская группировка GOFFEE встроила бэкдоры в корпоративные ISO-образы Windows, а во внутреннем хранилище российской компании подменила исполняемые файлы 7-Zip и Git. Редкую схему длительного закрепления раскрыли специалисты Лаборатории цифровой криминалистики и исследования вредоносного кода F6. F6 отслеживает активность GOFFEE, также известной как Paper Werewolf, с 2022 года. Группировка атакует российские госучреждения и организации из сфер ВПК, ИТ, логистики, СМИ, телекоммуникаций, строительства, энергетики, образования, промышленности, туризма и финансов. Главной целью кампаний остаётся кибершпионаж, а характерной чертой выступает стремление как можно дольше сохранять незаметный доступ к инфраструктуре жертвы. К началу расследования злоумышленники давно контролировали множество устройств, хорошо знали архитектуру сети и располагали высокими привилегиями. GOFFEE применяла инструменты собственной разработки, включая решения на базе публичных проектов, и усложняла анализ с помощью обфускации. После обнаружения и удаления очередного бэкдора группировка быстро меняла код и загружала новую версию, которую прежние правила выявления уже не распознавали. На части рабочих станций к моменту анализа почти не осталось данных, пригодных для компьютерной криминалистики. Первоначальный доступ GOFFEE получала через фишинговые письма с вредоносными архивами и документами-приманками. Рассылки маскировались под сообщения от государственных структур, подрядчиков и контрагентов. В исследованной атаке группировка загружала агент QwakMyAgent с подконтрольных доменов через штатный компонент Windows mshta.exe. Бэкдор предоставлял полный контроль над компьютером и доставлял дополнительные инструменты. На ключевых устройствах GOFFEE размещала сразу несколько бэкдоров с разными механизмами запуска. F6 обнаружила удалённый агент lonelymine, SSH-бэкдоры ElfDoor, BindSycler и SWATSSHD, агенты Mythic, а также модифицированный туннель Neo-reGeorg. Распределённая сеть доменов позволяла назначать отдельный командный сервер большинству вредоносных программ. Украденные сведения передавались через бэкдоры, утилиту rclone и облачное хранилище Mega. По выводу F6, недостаточное внимание к первым подозрительным событиям позволило GOFFEE надолго закрепиться в инфраструктуре. После глубокого проникновения обычного мониторинга уже недостаточно. Для выявления скрытых бэкдоров компаниям требуются постоянный сбор телеметрии, регулярный анализ аномалий и проактивный поиск угроз. 📲 Подписывайтесь на наш канал в МАХ!

Сибирь осталась без интернета и телевидения из-за сбоя в дата-центре «Ростелекома» 17 августа. / Кибер Медиа /. Пользователи «Ростелекома» в нескольких регионах Сибири столкнулись с масштабными перебоями в работе интернета и цифрового телевидения. Наиболее активно о проблемах сообщали жители Новосибирской области, Красноярского и Алтайского краев, а также Омской области. Причиной сбоя стало длительное отключение электроэнергии в Новосибирске. Дата-центр «Ростелекома» на улице Менделеева экстренно перевели на резервные источники питания, однако после продолжительной работы без внешнего электроснабжения в его инфраструктуре произошел временный сбой.  Проблемы затронули не только доступ в интернет, но и сервис Wink. По данным портала «Сбой.рф», на работу Wink поступило более 2 тыс. жалоб, тогда как днем ранее их было 136. На «Ростелеком» пользователи отправили более тысячи сообщений о неполадках. Больше всего обращений поступило из Новосибирской области. Специалисты «Ростелекома» начали поэтапное восстановление сервисов после устранения проблем с электроснабжением. Компания не сообщала о кибератаке или повреждении магистральной сети - причиной инцидента назван именно сбой энергоснабжения и последовавшие неполадки в дата-центре. Для «Ростелекома» это уже второй заметный сбой за август. 6 августа неполадки в сети передачи данных продолжались около 29 минут и затронули доступ к крупным интернет-сервисам и банковским приложениям. Тогда трафик оперативно перевели на резервное оборудование. 📲 Подписывайтесь на наш канал в МАХ!

Хакеры заявили о краже данных почти 50 компаний, включая Shell, Philips, GE и Fiserv 17 августа. / Кибер Медиа /. Хакерская группировка Cl0p заявила о масштабной кампании, в результате которой якобы похитила данные почти 50 компаний по всему миру. Среди названных целей оказались Shell, Philips, General Electric и американский финтех-гигант Fiserv.  Philips подтвердила попытку компрометации одного из корпоративных серверов, связанного с внутренними данными. Атаку удалось локализовать, при этом клиентские системы, по заявлению компании, затронуты не были. Shell также подтвердила, что расследует возможный инцидент совместно со специалистами по кибербезопасности. Cl0p утверждает, что похитила около 89 ГБ данных Shell и 13,5 ГБ информации Philips. В первом случае среди файлов якобы оказались инженерные чертежи, фотографии промышленных объектов, отчеты о технических проверках и проектная документация. У Philips злоумышленники заявили о получении схем, чертежей и других технических PDF-документов. Независимого подтверждения этих объемов пока нет. Fiserv сообщила, что проведенная проверка пока не выявила компрометации банковских, транзакционных, персональных или других клиентских данных. GE также запустила процедуры реагирования и оценивает возможные последствия атаки. Предполагаемым общим звеном кампании могло стать корпоративное ПО PTC Windchill и FlexPLM, используемое в инженерных и производственных процессах. Ransom-ISAC ранее предупреждала, что Cl0p эксплуатирует уязвимости этих продуктов. PTC еще с июня выпускала предупреждения и призывала клиентов устанавливать исправления. Cl0p известна именно массовыми кампаниями через уязвимости широко используемого корпоративного ПО: вместо последовательного взлома отдельных компаний группировка ищет одну слабость в общем поставщике и через нее пытается одновременно получить доступ к десяткам организаций.

Никаких символов. Обычные слова. Невидимый водяной знак выдаст текст Claude 17 августа. / securitylab.ru /. Модель будет выбирать формулировки так, чтобы специальный детектор смог распознать происхождение текста. Текст, написанный Claude, скоро можно будет распознать даже без характерных оборотов и детекторов ИИ. Anthropic встроит в будущие модели скрытый статистический водяной знак, который не добавляет специальных символов, метаданных или видимых пометок. Читатель не заметит никакой разницы, но обладатель специального ключа сможет оценить вероятность участия Claude в создании текста. Anthropic вводит такую систему ради требований европейского законодательства об ИИ. Компания вместе с другими разработчиками подписала в июле 2026 года европейский Кодекс практики по прозрачности контента, созданного ИИ. Новые механизмы маркировки Anthropic собирается включать по всему миру, поскольку компания пока не может надёжно ограничить работу водяного знака только европейскими пользователями. Водяной знак работает совсем не так, как привычная подпись на фотографии. Claude генерирует текст последовательно и на каждом шаге выбирает следующий токен из нескольких подходящих вариантов. Когда несколько слов одинаково хорошо подходят по смыслу, обычная модель может выбрать вариант с помощью случайности. Система водяных знаков меняет источник такой случайности и связывает выбор с секретным ключом и предыдущими словами. В результате в длинном тексте постепенно появляется статистический рисунок. Сам текст остаётся обычным, а слова не содержат скрытых символов. Если проверить последовательность специальным детектором и знать ключ, можно определить, насколько выбор слов соответствует работе Claude с включённым водяным знаком. Anthropic использует вариант технологии SynthID-Text, которую Google DeepMind описала в научной работе в Nature в 2024 году. По данным внутренних тестов Anthropic, механизм не ухудшает качество, читаемость или творческие способности модели. SynthID-Text также проверяли на части трафика Gemini. Google DeepMind не обнаружила статистически значимой разницы в пользовательских оценках между ответами с водяным знаком и без него. Дополнительных токенов система не создаёт, поэтому стоимость генерации не увеличивается, а влияние на скорость Anthropic называет пренебрежимо малым.

Ярлык браузера — сначала шпион, потом уже Chrome. Хакеры уже больше года скрытно следят за Афганистаном и Индией 15 августа. / securitylab.ru /. Инфраструктура шпионской кампании продолжает работать. Специалисты Acronis обнаружили продолжающуюся шпионскую кампанию против телекоммуникационных компаний Афганистана, государственных структур и объектов критической инфраструктуры Южной Азии. Для атак злоумышленники создали сразу несколько ранее неизвестных вредоносных программ, включая бэкдор PATCHCORD. Расследование началось в июне 2026 года, когда на VirusTotal загрузили подозрительный ZIP-архив Telecom_TMS. Внутри находился установщик, замаскированный под программу Afghan Telecom. В его свойствах использовалось название оператора, а ссылка издателя вела на настоящий портал компании. Когда пользователь запускал установщик, тот размещал в системе PATCHCORD. Вредоносная программа закрепляется в Windows необычным способом. PATCHCORD меняет ярлыки Microsoft Edge, Google Chrome и Mozilla Firefox так, чтобы сначала запускался бэкдор, а затем настоящий браузер. Значок и привычное поведение ярлыка сохраняются, поэтому пользователь может ничего не заметить. Дополнительно программа прописывает себя в разделе автозапуска реестра Windows. Заразив систему, PATCHCORD собирает имя компьютера и пользователя, версию Windows, сведения о процессе и другие данные, а затем связывается с управляющим сервером. Оператор может просматривать запущенные процессы, выполнять произвольные команды и запускать полученный код непосредственно в оперативной памяти, не сохраняя его на диск. Расследование вывело специалистов еще на одну программу – SHEETCORD, написанную на Go. Ее распространяли с сайта, который выдавал себя за Национальный центр информатики Индии. Вредоносная программа использует Google Таблицы, чтобы получать команды и передавать данные, причем для каждой зараженной машины создается отдельная вкладка. SHEETCORD также умеет подменять ярлыки уже шести браузеров, включая Brave, Opera и Vivaldi. Связанная инфраструктура использовалась и против энергетического сектора Индии. На открытом промежуточном сервере специалисты нашли инструменты, позволяющие эксплуатировать CVE-2024-6387 в OpenSSH и CVE-2021-4034 в Linux, средства, чтобы подбирать пароли, Metasploit, SuperShell и программы, которые крадут данные браузеров. Там же лежали файлы, которые могут указывать на то, что злоумышленники крали данные с сетевого оборудования и мобильных устройств. Еще одной находкой стал HACKERAI C2 Agent. По структуре кода, комментариям, оставшимся отладочным сообщениям и другим признакам в Acronis предполагают, что его создавали с помощью средств программирования на основе больших языковых моделей. Чтобы обмениваться командами, HACKERAI C2 Agent использует GitHub Gists вместо собственного сервера или Google Таблиц. В Acronis со средней уверенностью связывают кампанию с APT36, также известной как Transparent Tribe, либо с близкой к ней группой, связанной с Пакистаном. На такую связь указывают то, какие цели выбрали злоумышленники, сходство вредоносных программ, общая инфраструктура и инструменты, которые ранее уже замечали у APT36. На момент публикации отчета инфраструктура кампании продолжала работать. 📲 Подписывайтесь на наш канал в МАХ!

Мошенники начали атаковать удаленных сотрудников под видом работодателей и IT-служб 14 августа. / КИБЕР МЕДИА /. Мошенники используют распространение удаленной работы для новых схем социальной инженерии. Злоумышленники представляются работодателями, сотрудниками государственных ведомств или партнерами компании и предлагают получить компенсацию за использование домашнего интернета и личного компьютера. Об этом рассказал руководитель группы обучения информационной безопасности «Яндекса» Александр Лунев. Для получения якобы положенной выплаты сотрудника направляют на поддельный сайт для «идентификации» либо просят продиктовать код из СМС. Другой сценарий строится вокруг корпоративной IT-инфраструктуры: жертве приходит письмо с требованием срочно продлить доступ к рабочему сервису, подтвердить учетную запись или установить обновление по присланной ссылке. Ключевой прием в обоих случаях - создание ощущения срочности. Человека пытаются заставить выполнить действие до того, как он успеет проверить адрес отправителя или связаться с настоящей IT-службой. При удаленной работе подобная легенда выглядит правдоподобнее, поскольку значительная часть взаимодействия с работодателем действительно происходит через почту и мессенджеры. Дополнительным риском становится домашняя сеть. К одному роутеру могут одновременно подключаться рабочий ноутбук, смартфоны, камеры, телевизоры и другая IoT-техника. Специалисты рекомендуют обновлять прошивку маршрутизатора, менять стандартные пароли и отделять устройства умного дома от рабочего компьютера с помощью гостевой сети. Главный признак мошенничества остается прежним: настоящий работодатель, банк или государственное ведомство не должны запрашивать пароль или код подтверждения входа по телефону или в переписке. 📲 Подписывайтесь на наш канал в МАХ!

📚Смерть, которой не было: Google поверил вандалам и «похоронил» Сэма Альтмана 14 августа. / securitylab.ru /. Вандальная правка продержалась меньше часа, но поисковик успел принять поддельные сведения за факт. Вандальная правка в Википедии ненадолго превратилась для Google в биографический факт. Поисковик показал ложную дату смерти главы OpenAI Сэма Альтмана, а скриншоты быстро разошлись по Reddit и X*. 12 августа в информационной панели рядом с результатами поиска появилась запись, согласно которой Альтман родился 22 апреля 1985 года и умер 12 августа 2026 года. Глава OpenAI жив, но поисковая карточка утверждала обратное. После жалоб Google удалил ложную дату и сообщил, что сотрудники компании не вносили запись вручную. Представители поисковика связали ошибку с вандальными изменениями в открытых источниках, способными влиять на сведения в выдаче. История правок англоязычной статьи об Альтмане насчитывала 22 изменения за сутки. Неизвестный добавил в биографию ложное утверждение об убийстве главы OpenAI, после чего другие участники Википедии удалили недостоверные сведения. Вандалы несколько раз возвращали запись и меняли другие данные на странице. Представитель Wikimedia Foundation сообщил, что добровольцы отменяли вредоносные изменения за срок от одной до 43 минут. После серии атак страницу перевели в режим частичной защиты, ограничив редактирование для новых и малоактивных учетных записей. Google создает информационные панели автоматически на основе «Графа знаний», который собирает сведения из сотен открытых и лицензированных источников. Википедия служит одним из наиболее часто используемых ресурсов, хотя поисковик также сверяется с другими базами данных и сайтами. Инцидент затронул обычную информационную панель Google, а не генеративный блок AI Overviews. Ложная дата появилась не из-за самостоятельной выдумки нейросети, а из-за испорченных исходных данных, которые автоматические проверки не успели отсеять. Даже быстро удаленная правка успела перейти на другую платформу и превратиться в убедительный ответ поисковика. * Доступ к социальной сети X (ранее Twitter) ограничен на территории России. 📲 Подписывайтесь на наш канал в МАХ!

Российский бизнес увеличил использование китайских нейросетей более чем в 11 раз 14 августа. / КИБЕР МЕДИА /. Российские компании резко нарастили использование китайских больших языковых моделей. В первом полугодии 2026 года клиенты MWS GPT потребили более 400 млрд токенов китайских LLM - это в 11,3 раза больше, чем за весь 2025 год, когда показатель составлял 39,1 млрд.  Главным бенефициаром роста стала Qwen от Alibaba. На нее пришлось 261,1 млрд токенов, или 59,1% потребления китайских моделей. Второе место заняла GLM с 91,2 млрд токенов и долей 20,7%, третье - Kimi от Moonshot AI с 81,4 млрд и 18,4%. Последняя вытеснила из тройки лидеров DeepSeek.  Похожую динамику фиксируют и другие облачные платформы. На Yandex AI Studio за первое полугодие было обработано 597 млрд токенов - в 18 раз больше, чем годом ранее. 54% пришлось на собственные модели «Яндекса», однако среди зарубежных решений лидируют китайские Qwen с 21,2% и DeepSeek с 13,5%. Cloud.ru также сообщает о росте потребления LLM примерно в 18 раз за неполные восемь месяцев, причем значительную часть спроса обеспечивают китайские модели. Компании используют LLM прежде всего для чат-ботов, автоматизации поддержки, генерации и персонализации рекламы, подготовки рассылок и описаний товаров, а также анализа отзывов и обращений клиентов. Одна из причин роста китайских решений - наличие моделей с открытыми весами, которые бизнес может адаптировать и запускать внутри собственного защищенного контура. По прогнозу MWS Cloud, весь российский рынок LLM по итогам 2026 года вырастет на 35% и достигнет примерно 19,6 млрд рублей, а сегмент облачного доступа к моделям через SaaS и API приблизится к 1,5 млрд рублей.