Новости инфобезопасности - ФСТЭК

Обзор кибератак и уязвимостей за прошедшую неделю: 20 - 24 июля 2026 года 26 июля. / Кибер Медиа /. Редакция Кибер Медиа собрала главные события прошедшей рабочей недели. В фокусе оказались атака автономного ИИ-агента на инфраструктуру Hugging Face, остановка цифрового кадастра Румынии, опасный сбой Telegram на устройствах Apple, новый канал управления троянцем через Chrome и Edge, а также эксперимент, в ходе которого ИИ-агенты подготовили рабочий эксплойт для Redis. Hugging Face заявила об атаке автономного ИИ-агента на свою инфраструктуру Hugging Face раскрыла инцидент, в ходе которого атакующие проникли в часть производственной инфраструктуры платформы через вредоносный датасет. По данным компании, автономный агент повысил привилегии, получил доступ к облачным и кластерным учетным данным и выполнил тысячи действий через временные песочницы. Кибератака на кадастр Румынии парализовала сделки с недвижимостью Кибератака парализовала работу информационных систем Национального агентства кадастра и регистрации недвижимости Румынии. Из-за недоступности платформы e-Terra нотариусы не могли оформлять выписки, удостоверять сделки купли-продажи и регистрировать ипотеку. Баг Telegram вызывает перегрев iPhone и сотни ложных уведомлений В приложении Telegram для iPhone и iPad обнаружили сбой, из-за которого устройства получают десятки или сотни одинаковых уведомлений о новых сообщениях. Ошибка может приводить к ускоренной разрядке аккумулятора, перегреву и временной остановке зарядки. Новый троянец msaRAT прячет связь с хакерами внутри Chrome и Edge Группировка Chaos ransomware начала использовать новый бэкдор, который маскирует обмен командами под обычную работу браузеров Chrome и Microsoft Edge. Вредонос запускает браузер без видимого окна, использует Chrome DevTools Protocol и передает данные через легитимную инфраструктуру Cloudflare, Twilio и WebRTC. Kimi K3 за 27 минут подготовила рабочий эксплойт для Redis Исследователь Чаофань Шоу заявил, что система из 32 ИИ-агентов на базе Kimi K3 за 27 минут нашла уязвимость в Redis и подготовила рабочий эксплойт. Код позволяет выполнить команду через уже авторизованное подключение, однако полные журналы работы агентов не опубликованы, а часть результатов эксперимента пока не получила независимого подтверждения. 📲 Подписывайтесь на наш канал в МАХ!

Rockwell, Schneider и Siemens под прицелом. Что известно о новой кампании иранских хакеров против инфраструктуры США 25 июля. / securitylab.ru /. Иранские хакеры научились вмешиваться в работу промышленных контроллеров так, чтобы операторы не замечали опасных изменений. В США такие действия уже привели к сбоям на объектах критической инфраструктуры и финансовым потерям. Федеральное бюро расследований, Агентство по кибербезопасности и защите инфраструктуры (CISA), Агентство национальной безопасности (АНБ) и другие американские ведомства сообщили, что против промышленных систем управления продолжается кампания. Целями стали программируемые логические контроллеры Rockwell Automation, Schneider Electric и Siemens, напрямую доступные из интернета. Атаки затронули государственные учреждения, предприятия энергетики, а также системы водоснабжения и очистки сточных вод. По оценке американских ведомств, кампанию проводят связанные с Ираном участники кибергруппировок. Ранее похожие действия связывали с CyberAv3ngers, также известной как Shahid Kaveh Group. Злоумышленники подключались к плохо защищённым контроллерам через арендованные серверы за пределами США. Чтобы работать с устройствами, хакеры использовали штатные программы производителей, включая Studio 5000 Logix Designer, EcoStruxure Control Expert и TIA Portal. Так они выгружали файлы проектов, меняли управляющую логику и загружали изменённые версии обратно. На одном из объектов хакеры сохранили основную логику работы контроллера, но добавили команды, которые подменяли инструкции, отвечающие за безопасные параметры оборудования. Изменения могли отключать аварийную остановку и сигналы тревоги. В результате система переходила в опасное состояние, а оператор не получал предупреждения. Хакеры также меняли данные на панелях управления и в системах диспетчерского контроля. Изображение на экране могло показывать, что оборудование работает нормально, хотя контроллер уже выполнял вредоносные команды. В нескольких случаях вмешательство вызвало реальные сбои и финансовый ущерб. Американские ведомства зафиксировали вредоносные подключения к портам 44818, 2222, 102 и 502, которые используют промышленные протоколы. Отдельные атаки затрагивали модемы с доступом по порту 22. Среди целей были контроллеры CompactLogix и Micro850, Modicon M340 и Siemens S7-1200. Организациям рекомендуют немедленно убрать промышленные контроллеры из прямого доступа в интернет, подключать их через защищённый шлюз и ограничить разрешённые соединения межсетевыми экранами. Владельцам оборудования также советуют проверить управляющие программы на посторонние изменения, изучить журналы подключений, сменить стандартные пароли и хранить проверенные резервные копии отдельно от рабочей сети. Обновлённое предупреждение расширило список затронутых производителей и добавило способы поиска вредоносных изменений в повторно используемых программных модулях. Ведомства подчёркивают, что кампания не связана с новой уязвимостью конкретного производителя. Хакеры находят контроллеры с опасными настройками и используют штатные средства управления против их владельцев.

📚Заразил 100 компьютеров, но кого грабить первым? Новый вирус Dolphin X решает главную проблему «уставших» взломщиков 24 июля. / securitylab.ru /. Когда заражённых устройств становится слишком много для ручного разбора целей, злоумышленникам нужен способ быстро выбрать самые ценные из них, и новый троян удалённого доступа Dolphin X пытается решить эту задачу с помощью встроенного ИИ-ранжировщика. Эксперты компании Varonis обнаружили в панели управления Dolphin X функцию AI Profiler, которая анализирует сведения с заражённых компьютеров, присваивает жертвам оценку риска и выстраивает системы по приоритету. Операторы могут сначала заняться устройствами, где вероятнее найти доступ к корпоративным сетям, облачной инфраструктуре, производственным средам, криптовалютным кошелькам или ценным учётным записям. Согласно описанию продавца, для ранжирования модуль учитывает используемые приложения, посещённые домены, установленное ПО, теги и другие собранные данные. Затем панель формирует ежедневные сводки с отсортированными профилями, сокращая объём ручной проверки украденной информации. Dolphin X распространяют на киберпреступном форуме как универсальный троян удалённого доступа. В панели заявлены 329 функций, включая кражу данных более чем из 300 приложений. Среди целей указаны браузеры, расширения и настольные криптокошельки, менеджеры паролей, облачные инструменты командной строки, SSH-ключи, токены доступа, файлы .env и сохранённые учётные данные. Специалисты Varonis изучили панель управления Dolphin X, конструктор вредоноса и связанный сетевой трафик в изолированной среде. Они проверили интерфейс, заявленные функции и технические строки, связанные с запуском AI Profiler, сбором данных и расчётом оценки риска. Анализ подтвердил, что механизм ранжирования жертв действительно встроен в панель управления. Однако Varonis не запускала полноценный вредоносный агент Dolphin X на тестовом компьютере (причина не уточняется) и не наблюдала его работу после заражения. Поэтому специалисты не смогли независимо проверить все заявленные функции кражи данных и выяснить, как именно ИИ рассчитывает рейтинг жертв. Отчёт показывает, что разработчики вредоносных платформ всё активнее начинают применять ИИ. Причём не только для проведения атаки, но и для обработки похищенной информации и выбора наиболее «лакомых» целей.

Новый троянец msaRAT прячет связь с хакерами внутри Chrome и Edge 23 июля. / КИБЕР МЕДИА /. Группировка Chaos ransomware начала использовать новый бэкдор msaRAT, который маскирует связь с командным сервером через браузеры Chrome и Microsoft Edge. По данным BleepingComputer, вредонос не подключается к C2-инфраструктуре напрямую, а прокладывает канал управления через браузерную сессию. msaRAT написан на Rust и использует Chrome DevTools Protocol. После запуска он ищет Chrome или Edge, открывает браузер в headless-режиме без видимого окна, включает интерфейс удаленной отладки и через CDP внедряет JavaScript в новую вкладку. Этот код строит канал связи, обходит Content Security Policy и регистрирует механизмы обмена командами. Схема опасна тем, что для защитных систем трафик выглядит как обычная активность браузера. Дальше соединение уходит к Cloudflare Workers, а передача данных идет через Twilio TURN-серверы и WebRTC. Исследователи Cisco Talos отмечают, что такая архитектура скрывает настоящий IP-адрес сервера злоумышленников и усложняет блокировку инфраструктуры. В атаках, которые наблюдали специалисты, проникновение начиналось с email- или voice-фишинга. После закрепления злоумышленник загружал MSI-инсталлятор, замаскированный под обновление Windows, а тот запускал msaRAT прямо в памяти системы. Для компаний это важный сигнал: блокировка «подозрительных доменов» уже не закрывает проблему, если вредонос прячется за легитимными браузерами, Cloudflare и Twilio. Детектировать такие атаки придется по поведению: запуску браузера в headless-режиме, включению remote debugging, необычной активности CDP и нестандартному WebRTC-трафику.

🔸Максут Шадаев в Китае, форум на тысячу компаний. Что за организацию по ИИ придумал Си Цзиньпин и зачем туда позвали Россию 23 июля. / securitylab.ru /. Искусственный интеллект становится новой площадкой, где страны сотрудничают на международном уровне, но пока не готовы отдавать партнёрам контроль над собственными технологиями. Соглашение, подписанное в Шанхае, предусматривает совместные проекты России, Китая, Бразилии и других государств, однако не обязывает участников применять конкретные модели ИИ или передавать друг другу то, что они разработали. Документ подписали 16 июля во время технологического форума в Китае, в котором участвовали более тысячи компаний из разных стран. Председатель КНР Си Цзиньпин также объявил, что создаётся Всемирная организация сотрудничества в сфере искусственного интеллекта, в которую вошли 29 государств, в том числе страны БРИКС. Россию представлял глава Минцифры Максут Шадаев. В Минцифры пояснили, что соглашение задаёт общие правила того, как страны будут сотрудничать в будущем. Страны смогут координировать работу, обмениваться опытом, совместно исследовать и запускать пробные проекты. Участники также планируют разработать общие подходы к тому, как оценивать эффективность и безопасность систем искусственного интеллекта. Совместные инициативы могут затронуть промышленность, сельское хозяйство, здравоохранение и образование. При этом каждая страна будет самостоятельно решать, в каких проектах участвовать и какие технологии применять. Соглашение не регулирует, как страны передают друг другу исходный код, модели и то, что они разработали. Россия рассматривает новую организацию как площадку, чтобы продвигать отечественные языковые модели и собственные правила, которые регулируют отрасль. Москва также рассчитывает помогать создавать международные стандарты и методы, чтобы проверять системы искусственного интеллекта.

Баг Telegram вызывает перегрев iPhone и сотни ложных уведомлений 22 июля. / КИБЕРН МЕДИА /. В Telegram для iPhone и iPad обнаружили сбой, из-за которого приложение отправляет десятки и даже сотни одинаковых push-уведомлений с текстом «You have a new message». Как пишет «Код Дурова», уведомления появляются даже при русской локализации мессенджера и включенном показе содержимого сообщений. Проблема не связана с реальными сообщениями: при нажатии на push-уведомление чат не открывается. Одновременно устройство может заметно нагреваться, быстрее разряжаться и даже временно останавливать зарядку до снижения температуры. По наблюдениям пользователей, сбой встречается как на стабильных, так и на бета-версиях iOS. Чаще всего он проявляется после обновления Telegram до версии 12.9. Жалобы на похожую проблему появляются уже несколько месяцев, но летом их стало больше. Наиболее действенным временным решением называют переустановку приложения: сначала очистить кеш в настройках Telegram, затем удалить мессенджер и заново скачать его из App Store. Однако у части пользователей ошибка возвращается через 7-14 дней. Официального исправления пока нет. До выхода обновления пользователям стоит следить за температурой устройства и не оставлять iPhone или iPad на зарядке, если Telegram начинает массово отправлять ложные уведомления. 📲 Подписывайтесь на наш канал в МАХ!