Кибербезопасность
-
Доверие — это не то, чем кажется — и на него рассчитывают мошенники
Злоумышленникам больше не нужно полагаться на вредоносное ПО для взлома организаций. Они просто звонят в службу поддержки и вежливо просят доступ с небольшой помощью искусственного интеллекта.
-
Заброшенное приложение Popcorn Time подвергло миллионы устройств атакам RCE
Заброшенное приложение Popcorn Time подвергло миллионы устройств атакам RCE
-
Подвержены PHP2Shell? Киберэксперты дают советы
Анонс: Узнайте о потенциальном уязвимости PHP2Shell и опасности, связанных с ней. Эксперты обсуждают, как оценить вашу риск и предлагают советы для защиты своих систем. Не следует считать обновление программного обеспечения простой кликой "Обновить".
-
Microsoft Teams получит контекстно-зависимое обнаружение фишинга на базе искусственного интеллекта
Microsoft Teams получит контекстно-зависимое обнаружение фишинга на базе искусственного интеллекта
-
BlackX UEFI Bootkit обходит безопасную загрузку в исправленных системах Windows, не хватает отзывов
Дипломатические организации в Центральной Азии подверглись нападению нового сложного буткита Unified Extensible Firmware Interface (UEFI) под названием BlackX. В техническом отчете Касперского говорится, что эта деятельность, в ходе которой в начале 2026 года были выявлены дипломатические учреждения в Таджикистане, Узбекистане и Туркменистане, подозревается в организации связанной с Китаем спонсируемой государством хакерской группы, известной как APT41.
-
Ruby исправляет три ошибки движка Regex, ответственные за четыре критических недостатка GitLab RCE
Ruby выпустил версии 4.0.9, 3.4.12 и 3.3.13, чтобы исправить три ошибки в Onigmo, механизме регулярных выражений, встроенном в язык. Эти ошибки лежат в основе четырех критических недостатков безопасности, которые GitLab исправил за последний месяц. GitLab обнаружил, что специально созданный шаблон может повредить память во время его компиляции Ruby, что потенциально может привести к выполнению кода на его собственных серверах. Руби говорит любое
-
Открытая инфраструктура показывает, как филиалы программ-вымогателей использовали агенты ИИ для осуществления вторжений
Исследователи кибербезопасности обнаружили экосистему вторжений, управляемую искусственным интеллектом (ИИ), которой управляют филиалы групп вымогателей INC и The Gentlemen. Центральным элементом операции является «Автономная система цепочки убийств Red Team», известная как «Фантом». По оценкам, злоумышленник русскоязычный и действует как оператор вторжения и вымогательства данных, а также как
-
Инструменты искусственного интеллекта генерируют массовые атаки за небольшие деньги
Одна кампания нацелена на 105 сайтов, использующих модели открытого веса; в другом случае общедоступные модели получили полный контроль над доменом за 12 долларов. Киберзащита должна будет измениться.
-
Microsoft: поддержка Windows Server 2016 заканчивается в январе
Microsoft: поддержка Windows Server 2016 заканчивается в январе
-
Другие новости: Взлом выходных реле Tor, Банки обнаружили мошеннических агентов искусственного интеллекта, Самовосстанавливающиеся программы-вымогатели для macOS
Хакеры APT28 атаковали оборонные компании НАТО, а банки фиксируют активность вредоносных ИИ-агентов. Эти инциденты демонстрируют рост угроз от государственных хакеров и новых технологий.
-
Операторы ботнета Mirai присоединяются к атакам PHP2Shell из-за появления эксплойтов обхода ASLR
Уязвимости
-
Китайская APT использует инструмент AI Pentest Artex для атак на ConnectWise
Искусственный интеллект
-
Широко распространенный недостаток PHP может привести к сбоям в работе многих сайтов сегодня
Ожидайте, что сегодня довольно много веб-сайтов будут отображать страницы с ошибками: почти 70 процентов веб-сайтов необходимо обновить свое основное программное обеспечение, чтобы исправить пару уязвимостей, которые позволяют злоумышленнику получить полный контроль над затронутыми серверами. Эксперты говорят, что существуют работающие средства устранения этих недостатков, и что эти критические ошибки уже широко используются. Изображение: Shutterstock.com, Сашкин. Рассматриваемые недостатки присутствуют в PHP, языке программирования, на котором работают сайты, работающие в большом количестве систем веб-публикации, включая Drupal, Magento, Joomla и WordPress. Ранее сегодня PHP выпустил экстренное обновление безопасности, исправляющее две критические ошибки, которые могут позволить злоумышленнику выполнить выбранный им код на уязвимом сервере. Агентство Reuters сообщает, что правительственные веб-сайты в Европе и других странах сегодня отключились после того, как были обнаружены уязвимости PHP. Cloudflare заявила, что уже обнаружила некоторое использование этой уязвимости и что в 3:02 утра (UTC) она внедрила правила брандмауэра веб-приложений для защиты веб-сайтов от атакующего трафика, стремящегося использовать ошибки, которые могут вызвать отказ в обслуживании, удаленное выполнение кода и раскрытие данных. OpenAI, которая участвовала в исследовании уязвимостей и распространении информации, заявила, что «учитывая серьезность этих недостатков и широкое использование PHP, мы считаем это одной из самых серьезных проблем безопасности за последнее время». Censys, компания, которая отслеживает технологии, используемые интернет-хостами, сообщила, что недавнее сканирование выявило около 2,58 миллиона хостов, подключенных к Интернету, и 54,9 миллиона веб-ресурсов, использующих PHP. Эксперты по безопасности Wiz заявили, что каждая версия PHP, выпущенная за последнее десятилетие, подвержена как минимум одной из этих уязвимостей [полное раскрытие информации: Wiz является рекламодателем в этом блоге]. «Эти результаты входят в число самых серьезных уязвимостей, обнаруженных в PHP и, возможно, в истории программного обеспечения», — говорится в сообщении в блоге, опубликованном сегодня командой исследователей из Wiz, которая была одной из нескольких организаций, которым приписывают обнаружение уязвимостей. "Основные недостатки присутствовали на протяжении десятилетий, но демонстрация их возможности использования требовала исключительно сложной цепочки шагов, находящейся на грани того, чего исследователи-люди могли практически достичь. Модели Frontier AI существенно снизили этот барьер, превратив давнюю ошибку в эксплойт". Исследователи Wiz говорят, что, скорее всего, уязвимости PHP будут массово использоваться для установки веб-бэкдоров или «веб-оболочек», которые дают злоумышленникам веб-панель, позволяющую им удаленно управлять зараженными сайтами. Виз сказал, что до того, как ошибки PHP были публично раскрыты, компания работала с командой PHP, Калифом и OpenAI, чтобы оценить размер проблемы и координировать проверку и раскрытие исправлений. Уязвимости нулевого дня PHP отслеживаются по номерам CVE, CVE-2026-109618 и CVE-2026-109619, и они затрагивают все веб-серверы, работающие под управлением PHP 5.4 или более поздней версии. Ошибки исправлены в PHP 8.5.12, 8.4.27, 8.3.36 и 8.2.35. По словам Wiz, PHP настолько глубоко встроен во многие веб-приложения, что мы, вероятно, увидим, как организации будут пытаться исправить эти уязвимости в течение некоторого времени, сравнивая эту пару уязвимостей PHP со слабостью Log4Shell, которая возникла в 2021 году — широко распространенная, серьезная ошибка безопасности в Log4j, популярной платформе ведения журналов Java. «Уязвимость ядра PHP выходит далеко за рамки одного приложения», — пишут исследователи Wiz. "PHP работает в облаках, хостинг-провайдерах, сетях доставки контента и миллионах независимо управляемых серверов. Чтобы снизить уровень воздействия до того, как технические детали станут достоянием общественности, требуется скоординированная работа во всей этой экосистеме". Центр SANS Internet Storm следит за основными программными платформами, которые выпускают обновления для устранения этих недостатков PHP. Например, Ubuntu только что выпустила обновленные пакеты PHP. Чтобы получить более подробное техническое описание этих уязвимостей и рассказать о сроках обнаружения этих ошибок в стиле комиксов, прочтите этот пост от Калифорнии, еще одной технологической компании, которой приписывают обнаружение недостатков PHP. Это быстро развивающаяся история. Здесь будут отмечаться обновления с отметками времени. Обновление, 14:30 по восточному времени: добавьте цифры из Censys и ссылку на отчет Калифа. Запись опубликована Среда, 21 октября 2026 г., 11:26.
-
Подозреваемый федералами переговорщик по выкупу запустил сайт вымогательства ShinyHunters
Как стало известно KrebsOnSecurity, федеральные следователи США, преследующие хакерскую группу ShinyHunters, которая недавно похитила весьма конфиденциальные данные ФБР, выявили руководителей двух разных фирм, занимающихся переговорами по программам-вымогателям, которые поддерживали необычайно тесные отношения с группой вымогателей. Источники, близкие к расследованию, говорят, что один из руководителей в США даже помогал ShinyHunters управлять веб-сайтом, который вынуждал жертв платить выкуп. Хакеры, связанные с ShinyHunters, взяли на себя ответственность за десятки крупных утечек данных с 2019 года, когда группировкой в основном управляли киберпреступники, живущие во Франции. Поскольку первоначальные участники были арестованы или заключены в тюрьму один за другим, контроль над брендом ShinyHunters в конечном итоге перешел к «Рею», которого в прошлом году опознали как подростка-хакера из Аммана, Иордания. По данным ФБР, в этом году ShinyHunters вымогали у жертв более 70 миллионов долларов. В конце сентября ShinyHunters взломали веб-сайт ФБР по подбору персонала fbijobs.gov и насмехались над агентством, угрожая опубликовать украденные файлы, которые, как сообщается, включали медицинские и психологические записи, номера социального страхования и домашние адреса, а также информацию о подразделении и специализации каждого сотрудника. Взлом сайта вакансий ФБР побудил агентство действовать с необычайной скоростью, чтобы арестовывать, задерживать и допрашивать людей, которые имели какое-либо общение с Рей или другими подозреваемыми в ShinyHunters. 3 октября агентство Reuters сообщило, что Рей был задержан иорданскими властями и сотрудничал с ФБР. Рей смог взять на себя контроль над хакерской группой, поскольку только что был схвачен один из ее предполагаемых старших членов. Вечером 15 сентября 2026 года власти Нидерландов арестовали осужденного хакера и подозреваемого в деятельности ShinyHunters Пепина ван дер Стапа. Сообщается, что голландская полиция использовала светошумовые гранаты, чтобы оглушить и задержать Ван дер Стапа, когда он входил в различные онлайн-аккаунты. По словам источника, близкого к расследованию, власти арестовали Ван дер Стапа, когда он использовал свою учетную запись для обмена мгновенными сообщениями Signal, которая позволяла им читать недавние сообщения с частыми контактами, в том числе с переговорщиками по вымогателям, базирующимися в Канаде и США. Несколько источников, знакомых с этим вопросом, сообщили KrebsOnSecurity, что сообщения Ван дер Стапа стали ключом к раскрытию заговора с целью убийства по найму, который возник сразу после его ареста. Голландское новостное издание RTL сообщило в прошлом месяце, что два убийства предположительно были совершены за границей, и что есть признаки того, что Ван дер Стап отдал приказ о нападениях (нет никаких указаний на то, что эти приказы когда-либо были выполнены). 9 октября KrebsOnSecurity сообщил, что ФБР арестовало 54-летнего канадского руководителя службы кибербезопасности по имени Эдвард Дубровский в связи с расследованием дела ShinyHunters. Согласно протоколам суда, Дубровский, недавно опубликовавший книгу о борьбе с кибер-вымогательством, в которой рекомендовал всегда взаимодействовать с хакерами, был обвинен в угрозах раскрыть украденные или взломанные данные и вмешательстве в торговлю между штатами путем вымогательства. Как сообщает Politico, прокуратура потребовала, чтобы Дубровский оставался под стражей до суда, а документы, связанные с его делом, оставались засекреченными. Источник, близкий к расследованию, сообщил KrebsOnSecurity, что сообщения Ван дер Стапа в Signal показывают, что он часто беседовал с г-ном Дубровским и как минимум с одним руководителем крупной американской консалтинговой фирмы, и что эти руководители часто знали подробности о новых жертвах ShinyHunters еще до того, как сами жертвы узнали о взломе. Этот источник поделился еще одним потенциально взрывоопасным выводом федеральных следователей: чаты голландского хакера показали, что г-н Дубровский знал, что ShinyHunters украли очень конфиденциальные данные с серверов ФБР, и что он никогда не сообщал бюро об утечке данных до того, как ShinyHunters пригрозили в Twitter/X опубликовать глубоко личные личные файлы агентства. БЛЕСТЯЩАЯ ПРОВОДА KrebsOnSecurity узнала из двух источников, близких к расследованию ShinyHunters, что следователи ФБР полагают, что по крайней мере один руководитель американской консалтинговой фирмы играл активную роль в управлении ныне несуществующим сайтом-вымогателем жертв ShinyHunters «shinywire[.]com». KrebsOnSecurity не называет США. компанию или подозреваемого руководителя(ов) на данный момент, поскольку им еще не предъявлено обвинение в совершении преступления, но это престижная фирма с более чем 1000 сотрудников. Раздел домашней страницы ныне несуществующего веб-сайта Shinywire. Веб-сайт Shinywire был активен примерно с 3 мая 2026 года по 16 октября и содержал записи почти 100 организаций, взломанных ShinyHunters. Каждая запись призывала жертв взаимодействовать с группой киберпреступников и обсуждать условия оплаты. На страницах также были размещены образцы украденных файлов и обещано, что эти файлы будут опубликованы в Интернете, если жертва проигнорирует их требования. На следующем снимке экрана показана кэшированная часть страницы вымогательства Shinywire для Intuitive Surgical, американской компании, занимающейся медицинскими технологиями, которая была взломана в марте 2026 года после того, как сотрудник попался на целевое фишинговое электронное письмо. Веб-сайт Shinywire, индексированный urlscan.io. Этот листинг представляет собой требование о вымогательстве, направленное против Intuitive Surgical, американской компании в области медицинских технологий, которая была взломана в марте 2026 года в результате целенаправленной фишинговой атаки по электронной почте, в результате которой были скомпрометированы учетные данные сотрудника. Организации-жертвы, которые отказались участвовать или вести переговоры через семь дней, обнаружат, что все их украденные данные опубликованы в блоге ShinyHunters, посрамляющем жертв (веб-сайт, доступный только через анонимную сеть Tor). В статье, опубликованной 15 октября, The Globe and Mail написала, что за несколько месяцев до того, как Эдвард Дубровский был арестован ФБР, канадский руководитель кибербезопасности утверждал в судебных документах, что он стал побочным ущербом в кампании бывшего делового партнера по «уничтожению» другого руководителя отрасли. В статье отмечается, что в этом году Дубровский подал иск в Онтарио против Дэниела Тобока, бывшего исполнительного директора Cypfer, фирмы по кибербезопасности, основанной в Торонто и имеющей офисы в США, Великобритании, Нидерландах, Объединенных Арабских Эмиратах и Мексике. Впервые они стали деловыми партнерами в 2017 году, а затем вместе разработали Cypfer, где г-н Дубровский был управляющим партнером и главным операционным директором. Но к 2024 году между ними произошла ссора: Дубровский обвинил Тобока в том, что он постепенно отстраняет его от деловых вопросов и принимает «все более капризные деловые решения». Сообщается, что г-н Тобок отверг обвинения и подал встречный иск, обвинив г-на Дубровского в доступе к конфиденциальной информации и несправедливой конкуренции с Cypfer посредством работы в другой фирме под названием CyberSteward Inc. Он также сказал, что г-н Дубровский представил себя в ложном свете как основатель Cypfer и не является акционером. ПРИЗРАЧНЫЙ БАЙТ Согласно интервью с несколькими бывшими коллегами г-на Тобока, еще восемь лет назад он был известен распространителям программ-вымогателей под особым прозвищем: Ghostbyte. В 2018 году канадская компания была взломана Dharma, популярной русскоязычной партнерской программой по вымогательству, которая впервые появилась в 2016 году. Компания-жертва сообщила представителю программы-вымогателя Dharma, что склоняется к оплате, поскольку некоторые файлы невозможно восстановить после блокировки, но им нужна лучшая гарантия того, что Dharma сдержит свое слово, если им заплатят. Отредактированная копия ответа представителя Dharma изображена ниже. На ней видно, что группа вымогателей призвала жертву связаться с человеком из канадской ИТ-фирмы, которая помогает компаниям, ищущим такие гарантии. Представитель Dharma порекомендовал жертве связаться по адресу электронной почты Ghostbyte@tutanota.com. «Если вам нужны гарантии, вы можете написать в ИТ-компанию», — говорится в ответе Дхармы. "Возьмите телефон и договаривайтесь с ними. Эта IT-компания часто решает подобные проблемы в Канаде. Вы можете связаться с ними и заключить договор на оказание услуг. Платить все равно придется". Ответ по электронной почте от
-
Великобритания ввела санкции против Cryptomus за отмывание денег в России
Великобритания ввела экономические санкции против Cryptomus, криптовалютной платформы-хамелеона, которая, по мнению экспертов, служит основным каналом для платежей, связанных с программами-вымогателями, наркотиками, рынками даркнета, мошенничеством и услугами по борьбе с киберпреступностью, которые помогают России обходить существующие финансовые ограничения. Агент поддержки Heleket в Telegram утверждает, несмотря на все доказательства обратного, что он не связан с Cryptomus. Изображение: Ричард Сандерс. 8 октября Великобритания ввела санкции (PDF) против Cryptomus — ранее известной как Certa Payments и Xeltox Enterprises — за обработку платежей, приносящих пользу российскому правительству и его финансовым учреждениям. Санкции замораживают любые активы Cryptomus в британских банках и запрещают британским компаниям предлагать ей какой-либо бизнес, виртуальный или иной. Также под санкции попали виртуальные платежные платформы VexPay, TokenSpot и сервис Tsunami Payments. Как поясняется в нашем расследовании от декабря 2024 года «Как криптовалюта превращается в наличные в российских банках», Cryptomus был ключевым платежным процессором для десятков российских криптовалютных бирж и веб-сайтов, предлагающих услуги по борьбе с киберпреступностью. Компания несколько раз меняла свое название с момента своего появления в 2022 году, последний раз на «Heleket» в прошлом году после того, как Канада наложила на платформу рекордный штраф в размере 176 миллионов канадских долларов за нарушения в сфере борьбы с отмыванием денег. Фирма по обработке данных блокчейна Chainaанализ заявила, что Великобритания Санкции нацелены на более широкую инфраструктуру, поддерживающую российскую экономику во время войны. «Cryptomus и Heleket стали крупными платежными центрами для незаконной деятельности», — написала Chainaанализ в своем блоге от 8 октября. «В совокупности эти сервисы получили больше незаконных средств по отслеживаемым категориям, чем миксеры в нашем наборе данных, а число незаконных контрагентов выросло до более чем 900 за один месяц в конце 2025 года». Бот службы поддержки Cryptomus в Telegram ответил 8 октября на запрос, заявив, что платформа внезапно не смогла обрабатывать транзакции. В апреле 2026 года аналитическая компания TRM Labs обнаружила, что с момента своего создания в 2022 году Cryptomus обработал транзакций на сумму более 7 миллиардов долларов, включая транзакции, связанные с поставщиками материалов о сексуальном насилии над детьми, сетями финансирования терроризма и операциями по торговле людьми. TRM отметила, что объем транзакций Cryptomus резко упал после того, как платформа ввела новые правила «знай своего клиента» или KYC, и что криптовалютная платформа отреагировала на канадские штрафы, запустив Heleket в качестве параллельного сервиса, который продолжал предлагать обработку платежей без KYC. Ричард Сандерс — аналитик и исследователь блокчейнов, который месяцами изучал платежную инфраструктуру Cryptomus и проводил транзакции с ее клиентами. Сандерс заявил, что санкции Великобритании в отношении Cryptomus важны, поскольку санкции Канады против платформы в конечном итоге оказались неисполнимыми и не подлежат взысканию. «Штраф не мешает процессору криптовалютных платежей обрабатывать платежи», — написал Сандерс в LinkedIn. "Санкции уничтожают операцию. Различие имеет значение". Как отмечалось в нашем расследовании 2024 года, Cryptomus делился адресом в Ванкувере с десятками других дилеров иностранной валюты и компаний, занимающихся переводами денег, — ни один из которых, судя по всему, не находился там физически. По словам Сандерса, после штрафа в размере 176 миллионов канадских долларов за предполагаемые нарушения, связанные с отмыванием денег, Cryptomus обжаловал штраф, запустил Heleket в качестве параллельного сервиса и продолжил обрабатывать большие объемы сомнительных транзакций. Сандерс сказал, что санкции также примечательны тем, что они являются первым известным случаем, когда страна «Пять глаз» (имеется в виду Австралия, Канада, Новая Зеландия, Великобритания и США) санкционирует операцию с криптовалютой, зарегистрированную в другой юрисдикции «Пяти глаз». Откуда такие организации, как Cryptomus и Heleket, получают полномочия предлагать международные финансовые услуги? Ответ, судя по всему, связан с поддельными финансовыми учреждениями, контролируемыми фальшивым регулирующим органом, расположенным в стране, которая не является широко признанным суверенным государством. Наше расследование 2024 года показало, что единственным акционером материнской компании Cryptomus Certa Payments была 25-летняя украинка, которая также возглавляла несколько других фирм, в том числе WS Management and Advisory Corporation, которая позиционирует себя как регулирующий орган, который исключительно контролирует лицензии на криптовалютный, валютный и онлайн-игровой бизнес, зарегистрированный в спорном регионе на северо-западе Африки, известном как Западная Сахара. На веб-сайте этой организации — crasadr.com — говорится, что она помогает заявителям с открытием и формированием банков, лицензиями на онлайн-игры, а также созданием и лицензированием валютных брокеров. Один из бывших сайтов Certa Payments — certa[.]website — также делил сервер с 12 другими доменами, включая rasd-state[.]ws, веб-сайт Центрального резервного управления Западной Сахары. Веб-сайт crasadr dot com, официальный сайт Центрального резервного управления Западной Сахары, на котором перечислены организации, получившие лицензии на криптовалютные, игровые и обменные услуги. Эта запись опубликована Среда, 14 октября 2026 г., 10:22.
30 главных источников
о мире ИИ
Каждое утро — свежий AI-дайджест: главные темы недели простыми словами. Плюс автоматический перевод сотен статей об искусственном интеллекте.