39807
Руки-ножницы российского инфосека. Для связи - mschniperson@mailfence.com
iOS и macOS 26.4 получили новые обновления безопасности. Apple также выпустила исправления и для более старых устройств в iOS 18.7.7, iPadOS 18.7.7, macOS Sequoia 15.7.5 и macOS Sonoma 14.8.5.
В целом, в рамках новой волны обновлений устранено более 80 уязвимостей.
Для устройств iPhone и iPad последнего поколения были выпущены iOS 26.4 и iPadOS 26.4, содержащие исправления почти для 40 уязвимостей.
В WebKit были исправлены 8 ошибок, которые могли быть использованы вредоносными сайтами для обхода мер безопасности, проведения XSS-атак, идентификации пользователей, выхода из песочницы или сбоя процесса.
Уязвимости в других компонентах потенциально могли привести к перехвату сетевого трафика, доступу к приложениям, защищенным биометрической идентификацией, сбоям процессов, завершению работы приложений, DoS, перечислению установленных приложений, выходу из песочницы и доступу к конфиденциальной информации.
В рамках обновлений для iOS 18.7.7 и iPadOS 18.7.7 пользователям более старых устройств были предоставлены исправления примерно для двух десятков таких уязвимостей.
Apple также выпустила macOS Tahoe 26.4 с исправлениями более чем 75 ошибок, включая примерно 30 уязвимостей, которые были устранены в обновлениях iOS 26.4 и iPadOS 26.4.
Патчи устраняют проблемы в десятках собственных компонентов, а также уязвимости в сторонних зависимостях с открытым исходным кодом, включая несколько библиотек Apache, Curl и LibPNG.
Кроме того, Apple представила macOS Sequoia 15.7.5 и macOS Sonoma 14.8.5 с исправлениями для более чем 50 подобных уязвимостей в каждой из них.
TvOS 26.4 и watchOS 26.4 также получили патчи для исправления более десятка уязвимостей в каждой, а в visionOS 26.4 - для 30 ошибок.
Apple анонсировала выпуск Safari 26.4 с исправлениями восьми ошибок WebKit. Xcode 26.4 получил патч для двух уязвимостей.
В компании не сообщают о каких-либо случаях эксплуатации этих уязвимостей в реальных условиях. Но будем посмотреть, прекрасно помним и Триангуляцию, и Coruna, и…
Исследователи Sansec констатируют начало новой массовой атаки на цепочку мудаков, связанной с использованием уязвимости PolyShell во второй версии Magento Open Source и Adobe Commerce.
Как заметили исследователи, хакеры приступили к массовой эксплуатации критической уязвимости еще на прошлой неделе 19 марта, всего через два дня после ее публичного раскрытия.
На данный момент Sansec задетектила атаки PolyShell в отношении 56,7% всех уязвимых магазинов.
Проблема заключается в REST API Magento, который принимает загрузку файлов в качестве части пользовательских опций для товара в корзине, что позволяет файлам, написанным на нескольких языках, осуществлять удаленное выполнение кода или захват учетной записи посредством XSS, если это позволяет конфигурация сервера.
Adobe выпустила исправление в 2.4.9-beta1 10 марта 2026 года, но оно еще не попало в стабильную ветку. Вопрос о том, когда будет доступно обновление безопасности, устраняющее проблему с PolyShell, для производственных версий Adobe проигнорировала.
Вместе с тем, Sansec выкатила перечень IP-адресов, засветившихся в сканировании интернет-магазинов, уязвимых к PolyShell.
Причем в некоторых атаках, предположительно использующих уязвимость PolyShell, злоумышленник внедряет новый скиммер для платежных карт, который использует Web Real-Time Communication (WebRTC) для кражи данных.
WebRTC использует UDP с шифрованием DTLS, а не HTTP, в связи с чем он, с большей долей вероятности, сможет обойти средства контроля безопасности даже на сайтах со строгими правилами политики безопасности контента (CSP), такими как connect-src.
Скиммер представляет собой легковесный JavaScript-загрузчик, который подключается к жестко закодированному серверу C2 через WebRTC, обходя обычную сигнализацию путем внедрения поддельного обмена SDP-сообщениями.
Программа получает полезную нагрузку второго этапа по зашифрованному каналу, а затем выполняет её, обходя CSP, в основном за счёт повторного использования существующего nonce скрипта или прибегая к unsafe-eval или прямой инъекции скрипта.
Выполнение задерживается с помощью requestIdleCallback для снижения вероятности обнаружения.
Sansec нашла этот скиммер на сайте автопроизводителя, стоимость которого превышает 100 млрд. долл., который при этом никак не отреагировал на их уведомления.
Исследователи также анонсировали перечень актуальных IOCs, которые могут помочь предотвратить подобные атаки.
Теперь про Иран, компрометацию экосистемы PyPI и тандем с Lapsus$. Часть 2.
Как оказалось, тот же самый контейнер ICP, который использовался в атаке CanisterWorm на NPM, также применялся в кампании, нацеленной на Kubernetes.
Главное отличие заключалось в том, что код включал в себя инструмент для удаления вредоносного ПО, предназначенный для кластеров, расположенных в Иране.
В состав вредоносной ПО входит стандартное обнаружение подов Kubernetes, развертываются привилегированные DaemonSet на каждом узле, а также устанавливается бэкдор CanisterWorm в качестве службы systemd, обеспечивая сохранение данных на уровне инструментов PostgreSQL.
Как сообщают в Aikido, в более поздних версиях атаки вредоносное ПО добавило в себя сетевое перемещение по сети, используя SSH через скомпрометированные ключи и анализ журналов аутентификации, а также эксплуатируя открытые API Docker.
Код также проверяет системный часовой пояс и локаль и, если обнаруживает машины, настроенные для Ирана, запускает DaemonSet для очистки всего кластера.
Операция получила название «Камикадзе» и включает монтаж корневой файловой системы хоста, зачистку содержимого верхнего уровня и последующую перезагрузку системы. Операция выполняется на всех узлах, включая плоскость управления, уничтожая весь кластер.
В системах, настроенных для Ирана и не использующих Kubernetes, при наличии доступа с root, вредоносная ПО уничтожает все данные. Если же доступа нет, она «пытается использовать команду sudo без пароля, а затем пытается использовать ее в любом случае. Даже без прав root она уничтожае все, что принадлежит пользователю.
На последнем этапе TeamPCP переместилась в экосистему PyPI, включив в свой проект LiteLLM - библиотеку Python с открытым исходным кодом и прокси-сервер, который ежемесячно скачивают более 95 миллионов раз.
В версии LiteLLM 1.82.7 и 1.82.8 было внедрено то же самое вредоносное ПО для кражи информации и распространения вредоносных программ, что и в других атаках TeamPCP, с той же целью: компрометация ценных учетных данных для получения широкого доступа.
Как пояснили в EndorLabs, вредоносный код в LiteLLM 1.82.8 срабатывает при каждом запуске Python в среде и работает незаметно в фоновом режиме, не задерживая запуск Python.
LiteLLM, используемый в качестве единого интерфейса между приложениями и поставщиками услуг ИИ (Anthropic, Google и OpenAI), поддерживает более 100 API LLM и, как правило, имеет доступ к конфиденциальной информации, такой как ключи API и переменные среды.
Sonatype отмечает, что масштаб данных, на которые нацелено вредоносное ПО, подчеркивает глубокую взаимосвязь современных сред разработки - от локальных машин и конвейеров CI/CD до облачной инфраструктуры. Одна скомпрометированная зависимость может привести к утечке учетных данных в нескольких системах, что значительно увеличивает потенциальный радиус поражения.
Взлом LiteLLM предоставил злоумышленникам доступ ко всем секретам, к которым имеет доступ эта библиотека, и последствия атаки масштабны: по данным Vx-Underground, было похищено около 300 ГБ данных примерно с 500 000 зараженных машин.
В свою очередь, в ReversingLabs полагают, что хакеры, вероятно, взломали аккаунт GitHub соучредителя и гендиректора LiteLLM Криша Дхолакии 23 марта, а затем на следующий день автоматизированным способом взломали репозитории LiteLLM на GitHub.
Помимо распространения на многочисленные сообщества открытого программного обеспечения, TeamPCP перешла в фазу монетизации. Группа открыто берет на себя ответственность за атаки и, по всей видимости, сотрудничает с Lapsus$ для извлечения финансовой выгоды.
В Socket отметили, что TeamPCP хвасталась взломом Trivy, атаками на GitHub Actions, инцидентом с расширениями OpenVSX и взломом PyPI, заявляя о явной ориентации на инструменты безопасности и ключевые точки в экосистеме открытого исходного кода.
TeamPCP, по всей видимости, намерена продолжать свою кампанию и обещает «красть терабайты коммерческих секретов вместе со своими новыми партнерами», при этом не называя их, но намекая именно на Lapsus$.
Так что будем следить.
PTC Inc. предупреждает о критической уязвимости в Windchill и FlexPLM, широко используемых решениях для управления жизненным циклом продукта (PLM), которая допускает реализую удаленного выполнения кода.
Уязвимость отслеживается как CVE-2026-4681 и может быть использована для десериализации доверенных данных.
Причем критичность проблемы побудила немецких силовиков (BKA) осуществить рейды глубокой ночью, в 3 часа утра, для посещения компаний, которые используют уязвимое программное обеспечение Windchill и FlexPLM, чтобы предупредить о киберугрозах.
Официальных исправлений пока нет, но PTC заявляет, что «активно разрабатывает и выпускает обновления безопасности для всех поддерживаемых версий Windchill» для решения этой проблемы.
По данным поставщика, уязвимость затрагивает большинство поддерживаемых версий Windchill и FlexPLM, включая все версии критически важных наборов исправлений (CPS).
До появления обновлений системным администраторам рекомендуется применять предоставленное поставщиком правило Apache/IIS для запрета доступа к затронутому пути сервлета.
По данным PTC, данное решение не нарушает функциональность.
Аналогичные меры по снижению рисков следует применять ко всем развертываниям, включая Windchill, FlexPLM и любые файловые/репликационные серверы, а не только к системам, доступным из интернета.
Однако PTC рекомендует отдавать приоритет мерам по снижению рисков для экземпляров, доступных из интернета. Если устранить проблему невозможно, поставщик рекомендует временно отключить затронутые экземпляры от интернета или остановить работу сервиса.
Компания заявляет, что не обнаружила никаких доказательств того, что уязвимость используется.
Тем не менее, PTC опубликовала набор конкретных IOCs, включающих строку пользовательского агента и файлы.
Кроме того, в бюллетене перечислены рекомендации по обнаружению угроз, включая проверку веб-оболочек (файлов GW.class, payload.bin или dpr_<random>.jsp), подозрительных запросов с шаблонами типа run?p= / .jsp?c= в сочетании с необычной активностью User-Agent, ошибок, связанных с GW, GW_READY_OK или неожиданных исключений шлюза.
Наличие файлов GW.class или dpr_<8-шестнадцатеричных-цифр>.jsp на сервере Windchill указывает на то, что злоумышленник завершил подготовку системы к удаленному выполнению кода (RCE) до его осуществления.
Кроме того, в электронном письме клиентам PTC заявила, что «существуют достоверные доказательства непосредственной угрозы со стороны третьей стороны использовать уязвимость».
По данным Heise, в выходные дни сотрудники Бюро по борьбе с коррупцией были направлены для предупреждения компаний по всей стране о риске заражения CVE-2026-4681, даже тех, которые не использовали затронутые продукты.
Немецкое издание сообщает, что Федеральное управление уголовного розыска (BKA) разбудило системных администраторов посреди ночи для вручения копии уведомления от PTC, а также оповестило госуправления уголовного розыска (LKA) в различных федеральных землях.
Столь оперативная реакция властей указываете на то, что CVE-2026-4681 все же эксплуатируется или, вероятно, будет задействована в атаках в самое ближайшее время.
Учитывая, что системы PLM используются инженерными фирмами в сфере военных технологий, промышленном производстве и в критически важных цепочках поставок, экстраординарные меры со стороны властей более чем оправданы. Будем следить.
🎩Борьба за контроль над главным технологическим фондом 🇺🇸 ЦРУ In-Q-Tel
Директор Национальной разведки Тулси Габбард хочет перевести под контроль своего ведомства венчурный фонд In-Q-Tel, который более 25 лет работает под "крышей" ЦРУ. Сторонники такого решения утверждают, что сейчас In-Q-Tel слишком много внимания уделяет технологическим потребностям ЦРУ в ущерб другим ведомствам, а передача фонда под эгиду Управления директора национальной разведки (УДНР) поможет более эффективно и быстро обеспечивать передовыми технологиями всё разведывательное сообщество США.
Однако этот план встретил серьезное сопротивление со стороны ЦРУ, ряда конгрессменов и бывших сотрудников разведки. Критики опасаются, что подчинение независимого и успешного фонда неповоротливой бюрократии УДНР лишь замедлит внедрение инноваций и в конечном итоге разрушит In-Q-Tel.
✋ @Russian_OSINT
В продолжение: еще два рабочих процесса GitHub Actions оказались скомпрометированными вредоносным ПО TeamPCP. В целом, компрометация цепочки поставок отслеживается под идентификатором CVE-2026-33634 (CVSS: 9,4).
Причем это рабочие процессы, поддерживаемые компанией Checkmarx, специализирующейся на обеспечении безопасности цепочки поставок: checkmarx/ast-github-action и checkmarx/kics-github-action.
Sysdig сообщила, что примерно через четыре дня после взлома 19 марта 2026 года обнаружила программу для кражи учетных данных, идентичную той, что использовалась в операциях TeamPCP, направленных на Trivy от Aqua Security и связанные с ним GitHub Actions.
Это говорит о том, что украденные учетные данные в результате взлома Trivy были использованы для отравления дополнительных действий в затронутых репозиториях.
Как уже отмечалось, TeamPCP Cloud stealer предназначена для кражи учетных данных и секретов, связанных с ключами SSH, Git, Amazon Web Services (AWS), Google Cloud, Microsoft Azure, Kubernetes, Docker, файлами .env, базами данных и VPN, а также конфигураций CI/CD, данных из криптовалютных кошельков и URL-адресов веб-перехватчиков Slack и Discord.
Как и в случае с Trivy, злоумышленники, как выяснилось, принудительно добавляют теги к вредоносным коммитам, содержащим полезную нагрузку для кражи данных (setup.sh). Украденные данные эксфильтруются в домен checkmarx[.]zone (IP-адрес: 83.142.209[.]11:443) в виде зашифрованного архива (tpcp.tar.gz).
Новая версия создает репозиторий docs-tpcp, используя GITHUB_TOKEN жертвы, чтобы подготовить украденные данные в качестве резервной копии на случай, если утечка данных на сервер не удастся. В инциденте с Trivy злоумышленники использовали вместо этого имя tpcp-docs.
Использование доменов, специфичных для конкретного поставщика, для каждого зараженного действия - это преднамеренный обманный прием. Аналитик, просматривающий журналы CI/CD, увидит трафик curl, который, по-видимому, ведет на собственный домен поставщика данного действия, что снизит вероятность обнаружения вручную.
Основная цель злоумышленника - сбор учетных данных из памяти CI-раннера, что позволяет операторам извлекать персональные токены доступа GitHub (PAT) и другие секреты из скомпрометированных действий Trivy, выполняемых в рабочем процессе.
Хуже того, если эти токены имеют доступ на запись к репозиториям, которые также используют действия Checkmarx, злоумышленник может использовать их для распространения вредоносного кода.
Это, в свою очередь, открывает путь к каскадному компрометированию цепочки поставок, когда одно отравленное действие захватывает секреты, которые используются для облегчения отравления других действий.
Идентичные полезная нагрузка, схема шифрования и соглашение об именовании tpcp.tar.gz подтверждают, что это один и тот же злоумышленник, расширяющий свою деятельность за пределы первоначального взлома Trivy.
Проверка кода и сканирование зависимостей здесь не дали результатов, поскольку вредоносный код был внедрен в доверенное действие в источнике.
Citrix выпустила обновления для устранения двух уязвимостей в NetScaler ADC и NetScaler Gateway, включая критическую уязвимость, которая могла быть использована для кражи конфиденциальных данных из приложения.
Среди упомянутых: CVE-2026-3055 (CVSS: 9.3), которая связана с недостаточной проверкой входных данных, приводящей к перехвату памяти, а также CVE-2026-4368 (CVSS: 7.7), обусловленная состоянием гонки, приводящим к путанице пользовательских сессий.
В свою очередь, исследователи Rapid7 отмечают, что CVE-2026-3055 относится к выходу за пределы допустимого диапазона чтения, который может быть использован неавторизованными удаленными злоумышленниками для кражи конфиденциальной информации из памяти устройства.
Однако для успешной эксплуатации устройство Citrix ADC или Citrix Gateway должно быть настроено как поставщик идентификации SAML (SAML IDP), а конфигурации по умолчанию остаются неизменными.
Чтобы определить, настроено ли устройство как SAML IDP, Citrix настоятельно рекомендует клиентам проверить конфигурацию NetScaler на наличие строки: add authentication samlIdPProfile.
С другой стороны, для обнаружения CVE-2026-4368 требуется, чтобы устройство было настроено как шлюз (например, SSL VPN, ICA Proxy, CVPN и RDP Proxy) или как сервер аутентификации, авторизации и учета (AAA).
Уязвимости затрагивают NetScaler ADC и NetScaler Gateway 14.1 до 14.1-66.59 и 13.1 до 13.1-62.23, а также NetScaler ADC 13.1-FIPS и 13.1-NDcPP до 13.1-37.262. Пользователям рекомендуется как можно скорее установить последние обновления для оптимальной защиты.
Пока нет доказательств того, что эти уязвимости были использованы злоумышленниками в реальных условиях.
Но, как мы неоднократно уже отмечали, уязвимости в устройствах NetScaler уже не раз попадал в поле зрения киберподполья, как в случае с: CVE-2023-4966 (также известная как Citrix Bleed), CVE-2025-5777 (также известная как Citrix Bleed 2), CVE-2025-6543 и CVE-2025-7775.
Причем CVE-2026-3055 позволяет неавторизованным злоумышленникам получать доступ к конфиденциальной памяти и считывать её из развертываний NetScaler ADC.
Многим это может показаться знакомым и не зря - эта уязвимость подозрительно похожа на Citrix Bleed и Citrix Bleed 2, которые до сих пор на памяти у ИБ-сообщества и вызывают не самые радостные чувства.
Учитывая, что NetScaler - это критически важные решения, которые постоянно становятся мишенью для получения первоначального доступа к корпоративным средам, всем использующим затронутые версии, необходимо срочно обновиться. Очень вероятна, неминуемая эксплуатация.
Исследователи BI.ZONE предупреждают об обнаружении на одном из даркнет-форумов объявления о продаже эксплоита к 0‑day в RD Web Access.
Он представляет собой компонент службы Microsoft Remote Desktop Services (RDS), встроенной в Windows Server платформы, позволяющей пользователям удаленно работать с рабочим столом или приложениями через сеть.
Заявленный эксплоит предполагает получение удаленного доступа через уязвимый веб‑сервис. Изначальная цена, указанная селлером, составляет 200 000 долл.
По оценкам BI.ZONE, в России в зоне потенциального риска могут оказаться порядка 400 организаций, разместивших RD Web Access на периметре.
При этом согласно исследованию Threat Zone 2026, 18% кибератак на российские компании начинаются именно с компрометации служб удаленного доступа.
Сервисы семейства RDS традиционно рассматриваются злоумышленниками как потенциально привлекательная точка первичного доступа в корпоративную инфраструктуру.
В случае успешной эксплуатации уязвимости атакующий может получить возможности для дальнейшего развития атаки, включая закрепление в инфраструктуре, перемещение по сети, развертывание вредоносного ПО и компрометацию учетных записей терминального сервера.
Для снижения рисков возможной эксплуатации, Бизоны рекомендуют использовать специализированные решения класса EASM, позволяющие автоматически находить опубликованные инстансы RD Web Access на внешнем периметре.
Если же вдруг станет известно, что используемый сервис был долгое время уязвим и общедоступен, рекомендуется оценить инфраструктуру на предмет компрометации.
В дополнение к предыдущему:
Предполагается, что атака связана с группировкой, известной как TeamPCP, поскольку в одной из использованных вредоносных ПО для кражи информации в последней строке скрипта Python содержится соответствующий комментарий «TeamPCP Cloud stealer».
TeamPCP, также отслеживаемая как DeadCatx3, PCPcat и ShellForce, известна как облачная угроза и нацелена на неправильно настроенные API Docker, кластеров Kubernetes, панелей мониторинга Ray и серверов Redis.
В свою очередь, Aqua Security подтвердила инцидент, заявив, что злоумышленник использовал скомпрометированные учетные данные из предыдущего инцидента (01.03.2026), который не был должным образом локализован.
В Aqua Security обновляли секретные ключи и токены, но этот процесс не был атомарным, и злоумышленники могли иметь доступ к обновленным токенам.
Вредоносная версия Trivy (v0.69.4) оставалась активной примерно три часа, а скомпрометированные теги GitHub Actions сохраняли свою активность до 12 часов.
Злоумышленники также внесли изменения в репозиторий проекта, удалив первоначальное сообщение Aqua Security об инциденте, произошедшем в марте.
Организациям, которые успели поработать с затронутыми версиями во ходе инцидента, должны рассматривать свои среды как полностью скомпрометированные.
Соответственно, следует предпринять ротацию всех секретных данных, включая учетные данные облачных сервисов, ключи SSH, токены API и пароли к базам данных, а также анализ систем на предмет дополнительных угроз.
Исследователи Aikido также связали этого же злоумышленника с последующей кампанией, в которой используется новый самораспространяющийся червь под названием CanisterWorm, нацеленный на пакеты npm.
Червь deploy.js взламывает пакеты, устанавливает постоянный бэкдор через службу пользователя systemd, а затем использует украденные токены npm для публикации вредоносных обновлений для других пакетов.
Самораспространяющийся червь принимает токены npm, определяет имена пользователей, перечисляет все доступные для публикации пакеты, обновляет версии патчей и публикует полезную нагрузку по всей области видимости - 28 пакетов менее чем за 60 секунд.
Вредоносная ПО использует децентрализованный механизм управления и контроля с помощью контейнеров Internet Computer (ICP), которые действуют как перехватчики URL-адресов, предоставляющие адреса для дополнительных полезных нагрузок.
Использование контейнеров ICP делает операцию более устойчивой к отключению, поскольку удалить контейнер может только его контроллер, а любая попытка остановить ее потребует внесения предложения в систему управления и голосования в сети.
Червь также включает в себя функциональность для сбора токенов аутентификации npm из конфигурационных файлов и переменных окружения, что позволяет ему распространяться в средах разработки и конвейерах CI/CD.
На момент анализа часть вторичной инфраструктуры полезной нагрузки была неактивна или содержала безвредный контент, но исследователи отмечают, что ситуация может измениться в любой момент.
Спецслужбы США, Канады и Германии провернули крупную силовую операцию, нейтрализовав инфраструктуру C2 крупнейших IoT-ботнетов AISURU, Kimwolf, JackSkid и Mossad.
Не обошлось и без помощников из числа частных компаний, среди котиорых: Akamai, Amazon Web Services, Cloudflare, DigitalOcean, Google, Lumen, Nokia, Okta, Oracle, PayPal, SpyCloud, Synthient, Team Cymru, Unit 221B и QiAnXin XLab.
Согласно заявилению Минюста США, четыре ботнета совершили распределенные DDoS-атаки, направленные на жертв по всему миру, cкорость некоторых из этих атак составляла приблизительно 30 терабит в секунду, что стало рекордными показателями.
В своем февральском отчете Cloudflare связала AISURU/Kimwolf с масштабной DDoS-атакой мощностью 31,4 Тбит/с, произошедшей в ноябре 2025 года и длившейся всего 35 секунд.
В конце прошлого года также было установлено, что ботнет инициировал гиперобъемные DDoS-атаки со средним размером 3 миллиарда пакетов в секунду (Bpps), 4 Тбит/с и 54 миллиона запросов в секунду (Mrps).
В свою очередь, исследователь Брайан Кребс смог даже установить администратора Kimwolf, котором оказался 23-летний Джейкоб Батлер (он же Дорт) из Оттавы, Канада. Сам Батлер опроверг заявления Кребса.
По данным Кребса, другим главным подозреваемым является 15-летний подросток, проживающий в Германии. Вместе с тем, о каких-либо арестах пока не сообщается.
Ботнет захватил в свою сеть более 2 миллионов устройств Android, большинство из которых представляют собой взломанные телевизоры Android малоизвестных производителей.
В общей сложности, по разным оценкам, четыре ботнета заразили не менее 3 миллионов устройств по всему миру, вкчлюая цифровые видеорегистраторы, веб-камеры или Wi-Fi-роутеры, сотни тысяч из которых находятся в США.
Как отмечает силовики в своих документах, зараженные устройства использовались для проведения DDoS-атак против интересующих целей по всему миру в рамках партнерских программ.
В общем, четыре варианта ботнета Mirai выдали сотни тысяч команд для DDoS-атак, в том числе: AISURU - 200 000 команд, Kimwolf - 25 000, JackSkid - 90 000 и Mossad - 1000.
Как отметили в AWS, Kimwolf представлял собой фундаментальный сдвиг в принципах работы и масштабируемости ботнетов. В отличие от традиционных ботнетов, которые сканируют открытый интернет в поисках уязвимых устройств, Kimwolf использовал новый вектор атаки: сети резидентных прокси.
Проникая в домашние сети через скомпрометированные устройства, включая ТВ-приставки и другие устройства Интернета вещей, ботнет получил доступ к локальным сетям, которые обычно защищены от внешних угроз домашними маршрутизаторами.
В свою очередь, Akamai также поделилась своими наблюдениями, сообщая, что гипермассивные ботнеты генерировали атаки со скоростью более 30 Тбит/с, 14 миллиардов пакетов в секунду и 300 Мбит/с. Число таких атак достигало нескольких сотен тысяч, а в некоторых случаях атакуемые становились жертвами вымогательства.
Подобные атаки могут парализовать основную Интернет-инфраструктуру, привести к значительному ухудшению качества обслуживания со стороны интернет-провайдеров и даже перегрузить высокопроизводительные облачные сервисы защиты от атак.
Ну, а со своей стороны, отметим, что, как бывало уже не раз, подобные силовые изъятия не приводили к устранению самой угрозы, лишь ненадолго купируя ее активность. Но в любом случае, будем посмотреть.
На фоне широкомасштабного распространения в среде киберподполья продвинутых эксплойт-платформ Coruna и DarkSword, Apple выпустила рекомендации, настоятельно рекомендуя пользователям с устаревшими версиями iOS обновить свои iPhone.
Все для защиты от атак watering hole с использованием Coruna и DarkSword, в которых задействуется вредоносный веб-контент для запуска цепочки заражения в отношении устаревших версий iOS, которая приводит к краже конфиденциальных данных.
Apple заверила о проведении тщательного расследования в отношении обнаруженных проблем и эффективности выпущенных обновлений для самых последних версий ОС, которые гарантируют устранение уязвимостей и предотвращение подобных атак.
Пользователям с установленной последней версией программного обеспечения iPhone, ничего предпринимать не нужно. Предупреждение касается iOS с 15 по 26, в которых исправлены различные уязвимости безопасности, используемые эксплойт-комплектами.
Для остальных Apple рекомендует следующий порядок действий:
- Для более старых устройств, которые не могут обновиться до последней версии iOS, следует накатить iOS до версии 15.8.7, iPadOS 15.8.7, iOS 16.7.15, iPadOS 16.7.15.
- Обновить iOS до версии 15 на устройствах с iOS 13 или iOS 14, чтобы получить новейшие средства защиты, а также критическое обновление безопасности, которое, как ожидается, будет выпущено в ближайшие несколько дней.
- В ситуациях, когда обновление устройства невозможно, рекомендуется включить режим блокировки (Lockdown Mode), если он доступен.
iVerify полагает, что обнаруженные в широком канале эксплуатации уязвимости iOS, ранее задействовавшиейся в узко таргетированных APT-атаках, свидетельствуют о том, что мощные инструменты кибершпионажа и эксплойтная техника для мобильных устройств государственного уровня доступны на вторичном рынке для менее продвинутых злоумышленников.
Как отмечают в iVerify, относительная простота развертывания эксплойта, а также его быстрое внедрение множеством злоумышленников в разных странах указывают на формирование новой критической угрозы, связанной с широкомасштабными мобильными атаками.
Имеющиеся данные подтверждают, что эти уязвимости легко перепрофилировать и повторно использовать, что делает весьма вероятным активное заражение пользователей, не получивших обновления, модифицированными версиями.
Исследователи Лаборатории Касперского предупредили о новой вредоносной кампании группировки Head Mare, нацеленной на образовательные и научные учреждения, а также организации в энергетическом секторе в России.
Зедетектить активность удалось в феврале 2026 года, сама же кампания была активна как минимум с декабря 2025 года.
Жертвы получали ссылку - приглашение на видеоконференцию, после перехода по которой пользователю предлагалось установить сервис для подключения к видеозвонку.
В процессе установки происходило заражение системы - на устройство устанавливался ранее неизвестный бэкдор, который в ЛК назвали PhantomPxPigeon.
В настоящее время, как отмечают исследователи, наблюдается новая волна схожей активности, в частности в поле зрения попал целый ряд скомпрометированных серверов TrueConf у различных организаций из области транспорта, а также у научных и образовательных учреждений.
Дистрибутивы клиентского приложения TrueConf, которое скачивается с этих серверов, были подменены на вредоносные.
Таким образом, потенциально могли быть скомпрометированы и другие организации, сотрудники которых могли установить вредоносные версии клиентского приложения.
Вектор атаки, приводящий к подмене клиентского приложения на текущий момент непонятен, но злоумышленники предположительно могли использовать уже известную уязвимость BDU:2025-10116, которая была выявлена исследователями и исправлена вендором в августе 2025 года.
В связи с этим в Лаборатории Касперского рекомендуют всем использующим ПО TrueConf установить актуальную версию сервера в соответствии с рекомендациями вендора.
Кроме того, следует убедиться, что клиентские дистрибутивы, загружающиеся с сервера TrueConf, используемого в организации, имеют действительную цифровую подпись TrueConf и не подменены.
Обнаруженные ЛК вредоносные дистрибутивы не имеют действительной цифровой подписи.
Проверить подлинность можно также на сайте производителя.
Решения Лаборатории Касперского эффективно детектируют и блокируют вредоносные инсталляторы. В рамках сервиса Kaspersky Managed Detection and Response вредоносная активность также обнаруживается.
Актуальные IOCs - на сайте Лаборатории Касперского.
Ubiquiti выпустила экстренные обновления, включая патч прошивки UniFi Express, которые устраняют две уязвимости в приложении UniFi Network Application, ПО для управления устройствами UniFi, настройки сетей Wi-Fi, конфигурации брандмауэров, мониторинга трафика и многого другого.
Одна из уязвимостей, CVE-2026-22557, имеет максимальную оценку серьезности 10 из 10, эксплуатация тривиальна и может привести к полной компрометации системы.
Злоумышленник, имеющий доступ к сети, может использовать уязвимость обхода пути в приложении UniFi Network для доступа к файлам в базовой системе, которые можно использовать уже для получения доступа к учетной записи.
Уязвимость затрагивает все версии программного обеспечения, выпущенные до 18 марта 2026 года. Наиболее уязвимы пользователи, серверы которых подключены к интернету.
Ubiquiti настоятельно рекомендует сетевым администраторам обновить официальную и тестовую версии приложения UniFi Network до последней версии, а также установить патч для прошивки UniFi Express, что позволит обновить приложение UniFi Network до безопасной версии.
Программное обеспечение имеет широкую популярность среди пользователей, его можно разместить на собственном сервере Linux, компьютере с Windows, macOS или в контейнере Docker.
Вторая обнаруженная уязвимость имеет рейтинг серьезности 7,7 из 10 и представляет собой ошибку внедрения аутентифицированных NoSQL-запросов. Она позволяет злоумышленникам, получившим аутентифицированный доступ к сети, повысить свои привилегии.
Чтобы снизить риск задержек с установкой обновлений, компания рекомендует пользователям перейти на UniFi OS Server для всех развертываний с самостоятельным размещением, который включает в себя полный набор приложений UniFi Network и другие инструменты.
К числу затронутых продуктов относятся следующие: официальная UniFi Network версия 10.1.85 и более ранние; предварительная UniFi Network 10.2.93 и более ранние, а также UniFi Express (UX) - приложение UniFi Network версия 9.0.114 и более ранние.
Поставщик в своем предупреждении не упоминает, фиксировалась ли активная эксплуатация этих проблем в дикой природе.
Операторы Interlock с конца января нацелились на RCE-уязвимость максимальной степени серьезности в программном обеспечении Cisco Secure Firewall Management Center (FMC) в рамках реализации серии 0-day атак.
Банда вымогателей Interlock впервые нарисовались в сентябре 2024 года и была связана с кампанией ClickFix, а также с атаками, в ходе которых задействовался троян удаленного доступа под названием NodeSnake в сетях нескольких университетов Великобритании.
Кром того, Interlock провернула атаки на DaVita, Kettering Health, систему Техасского технологического университета и сети Сент-Пола (штат Миннесота, США).
Недавно исследователи IBM X-Force предупреждали, что операторы Interlock приступили к развертыванию нового штамма вредоносного ПО под названием Slopoly, предположительно, разработанного с использованием инструментов генеративного ИИ.
Возвращаясь к Cisco, упомянутая уязвимость отслеживается как CVE-2026-20131 и была устранена 4 марта. Она позволяет неавторизованным злоумышленникам удаленно выполнять произвольный код Java с правами root на устройствах без установленных исправлений.
В свою очередь, исследователи Amazon установили, что операторы Interlock более месяца использовала уязвимость Secure FMC в атаках на корпоративные межсетевые экраны, прежде чем она была раскрыта и справлена, начиная с 26 января 2026 года.
Это была не просто очередная уязвимость, для Interlock это была 0-day, что давало им недельную фору для компрометации организаций еще до того, как специалисты по защите успели что-либо проверить.
4 марта 2026 года Cisco выпустила уведомление по безопасности, в котором сообщалось об уязвимости в веб-интерфейсе программного обеспечения Cisco Secure Firewall Management Center, в котором поставщик представил самую последнюю информацию.
В компании настоятельно рекомендуют клиентам как можно скорее обновить ПО и обратиться к уведомлению для получения более подробной информации и рекомендаций.
С начала года в линейке востребованных киберподпольем решений Cisco расположились Cisco AsyncOS (с ноября 0-day использовалась для взлома защищенных почтовых устройств), Unified Communications (январская критическая RCE применялась в 0-day атаках), Catalyst SD-WAN (февральский ноль эксплуатировался для обхода аутентификации). Добавилась Cisco Secure Firewall Management Center (FMC).
Исследователи Dream обнаружили критическую уязвимость в демоне telnet (telnetd) библиотеки GNU InetUtils, которая может быть использована неавторизованным удаленным злоумышленником для выполнения произвольного кода с повышенными привилегиями.
Уязвимости присвоен идентификатор CVE-2026-32746.
Она имеет оценку CVSS 9,8 из 10,0 и связана с записью за пределами допустимого диапазона в обработчике LINEMODE Set Local Characters (SLC), что приводит к переполнению буфера и, в конечном итоге, открывает путь для RCE.
Dream обнаружила проблему и сообщила об уязвимости 11 марта 2026 года, заявиляя, что она затрагивает все версии реализации сервиса Telnet вплоть до 2.7.
Исправление уязвимости ожидается не позднее 1 апреля 2026 года.
Неавторизованный удалённый злоумышленник может использовать ее, отправив специально сформированное сообщение во время первоначального установления соединения - до запроса на авторизацию. Успешная эксплуатация может привести к RCE с правами root.
Для активации уязвимости достаточно одного сетевого подключения к порту 23 и специально сформированного SLC-опциона с множеством триплетов. Никаких учетных данных, никакого взаимодействия с пользователем и никакого специального сетевого положения не требуется.
Ошибка возникает во время согласования параметров, до появления запроса на авторизацию. Переполнение приводит к повреждению памяти и может быть преобразовано в произвольные операции записи.
Согласно данным Dream, обработчик SLC обрабатывает согласование параметров во время рукопожатия по протоколу Telnet.
Но, учитывая, что уязвимость может быть активирована до аутентификации, злоумышленник может использовать её сразу после установления соединения, отправляя специально сформированные протокольные сообщения.
Успешная эксплуатация уязвимости может привести к полной компрометации системы, если telnetd запущен с правами root.
Это, в свою очередь, может привести к различным действиям на этапе постэксплуатации, включая развертывание постоянных бэкдоров, утечку данных и горизонтальное перемещение с использованием скомпрометированных хостов в качестве точек опоры.
Поскольку telnetd обычно работает от имени root (например, под inetd или xinetd), успешная эксплойт-атака предоставит злоумышленнику полный контроль над системой.
В отсутствие решения проблемы рекомендуется отключить службу, если она не нужна, запускать telnetd без прав root там, где это необходимо, блокировать порт 23 на периметре сети и на уровне брандмауэра хоста для ограничения доступа, а также изолировать доступ к Telnet.
🦠Реагирование и стратегии защиты от CVE-2026-33634
Как сообщают специалисты 💚 «ЛК», существующие сигнатурные проверки и сканирование зависимостей в публичных реестрах больше не являются достаточными, так как вредоносный код был внедрен напрямую в доверенные подписанные действия и ускользнул от обнаружения, пока не был применен поведенческий мониторинг. CI/CD-конвейеры стали «новым периметром» безопасности.
Немедленные действия. Убедитесь, что все рабочие процессы используют безопасные версии (Trivy binary 0.69.3, trivy-action 0.35.0, setup-trivy 0.2.6).
Администраторы конвейеров CI/CD и команды ИБ должны немедленно проверить свои ссылки на решения Checkmarx (kics-github-action, ast-github-action) и Trivy (setup-trivy и trivy-action). Если ваши рабочие процессы ссылались на тег версии, а не на конкретный SHA-хеш, тщательно проверьте ваши журналы исполнения рабочих процессов в период уязвимости.
Также необходимо проверить сетевые журналы на наличие трафика к доменам scan.aquasecurtiy[.]org, checkmarx[.]zone и models.litellm[.]cloud. Его наличие свидетельствует об успешной эксфильтрации конфиденциальных данных.
Если в вашей организации на GitHub появился репозиторий с именем docs-tpcp, это также может указывать на успешную кражу данных.
В любом случае необходимо провести проактивный поиск угроз (threat hunting), предполагая успешную компрометацию и быстрое продвижение злоумышленников в затронутых системах.
Рекомендовано восстановить затронутые окружения из проверенных архивов.
Фиксация зависимостей и управление секретами. Убедитесь, что точные версии зависимостей закреплены с помощью криптографических хешей во всех конвейерах и Dockerfile. Переходите от долгоживущих токенов к краткосрочным учетным данным, используя для этого менеджер секретов, а также применяя интеграции OIDC там, где это поддерживается. Минимизируйте инъектирование секретов в окружение запущенных процессов — делайте это только с необходимыми секретами. Убедитесь, что секреты не сохраняются на диск и во временные файлы, а также не используются повторно в различных процессах.
Другие меры защиты. Разрешайте запуск GitHub Actions только из закрытого списка, одобренного в организации, блокируйте новые и непроверенные процессы. Настройте GITHUB_TOKEN и другие ключи доступа с соблюдением принципа наименьших привилегий. Не давайте разрешений на запись, если в этом нет прямой необходимости.
Для повышения безопасности GitHub Actions существует несколько инструментов с открытым исходным кодом:
▪️zizmor — инструмент статического анализа и поиска ошибок конфигурации в GitHub Actions;
▪️gato и Gato-X — две версии инструмента, помогающего выявлять структурно уязвимые конвейеры;
▪️allstar — приложение GitHub, разработанное OpenSSF для настройки и внедрения политик безопасности в организациях и репозиториях GitHub.
⬇️ Подробный разбор атаки через цепочку поставок Trivy и LiteLLM в блоге ЛК.
✋ @Russian_OSINT
Исследователи F6 отследили последние активности проукраинской группы Bearlyfy (также известной как Labubu), которая провела более 70 атак на российские компании с момента своего появления в январе 2025 года.
Первоначальные суммы запрашиваемого группой выкупа достигают сотен тысяч долларов. С марта 2026 года Bearlyfy стала использовать ransomware собственной разработки, для Windows - шифровальщик под названием GenieLocker.
Bearlyfy является группой двойного назначения, ориентированной на нанесение максимального ущерба российскому бизнесу: целями атак является как вымогательство для получения финансовой выгоды, так и совершение диверсий.
По данным F6, атаки Bearlyfy являются весьма болезненными для российских компаний, в среднем каждая пятая жертва оплачивает выкуп. При этом за последний год первоначальные запрашиваемые суммы выкупа стали достигать сотен тысяч долларов.
Изначально для шифрования данных Bearlyfy использовали LockBit 3 Black и свою доработанную версию Babuk. С мая 2025 года в некоторых атаках злоумышленниками использовалась незначительно модифицированная версия ransomware PolyVice известной RaaS Vice Society.
С начала марта 2026 года члены группировки стали использовать в атаках свои самописные программы-вымогатели.
Для Windows это GenieLocker. Используемая в ней криптосхема и подходы явно позаимствованы у программ-вымогателей семейств Venus/Trinity.
В F6 полагают, что авторы вредоносного ПО слишком увлеклись желанием удивить своими познаниями и наработками в криптографии и техниках антианализа, а также превзойти своей поделкой тот же LockBit 3.
Одна из особенностей Bearlyfy - доставка записок с требованием выкупа альтернативными способами, нежели программами-вымогателями.
Текст записок может быть как лаконичным, с указанием только контактных данных, так и развернутым - с насмешками для дополнительного давления на жертву, например, от имени Лабубу.
В F6 также наблюдают коллаборацию Bearlyfy с другими более опытными проукраинскими группами, такими как Head Mare, но при этом она сохраняет свой индивидуальный почерк с самого начала своей деятельности.
Причем если на ранних этапах участники Bearlyfy демонстрировали неумелые действия и явно экспериментировали с техниками и инструментарием, то за год эта группировка стала настоящим кошмаром для российского бизнеса, в том числе крупного.
Возможно, перевооружение в виде использования программ-вымогателей собственной разработки вызвано желанием выделиться на фоне других группировок, но в любом случае Bearlyfy планируют дальше расширять свою преступную деятельность на российском направлении.
Подробности исследования Bearlyfy - здесь, а здесь - реализация декриптора на Python и примеры зашифрованных файлов.
Дополнительную информацию о по штаммам ransomware и группировкам доступна на гитхабе F6.
Продолжаем обозревать активность хакерской группировки TeamPCP, которая значительно расширила свою кампанию на проекты с открытым исходным кодом.
Подытожим основные моменты и отметим вновь выявленные обстоятельства. Часть 1.
TeamPCP, по всей видимости, перешла от атаки на цепочку поставок Trivy к NPM, Docker Hub, VS Code и PyPI, и объединила усилия с группировкой Lapsus$ для монетизации.
Последняя, кстати, данным SocRadar, недавно взломала биофармацевтического гиганта AstraZeneca и украла примерно 3 ГБ корпоративных данных, включая учетные данные и токены, внутренние хранилища кода и данные сотрудников.
Некоторые предполагают, что инцидент может быть связан с недавней атакой на цепочку поставок, затронувшей сканер уязвимостей Trivy компании Aqua, но это неточно.
Возвращаясь к атака на Trivy от Aqua Security, атака (CVE-2026-33634, CVSS 9,4) началась с компрометации токена доступа в конце февраля. Поскольку разработчики не меняли все учетные данные и секреты, хакерам удалось сохранить доступ к скомпрометированной среде.
TeamPCP начала распространение вредоносного ПО в репозитории Trivy 19 марта, Сейчас многоэтапная атака локализована и находится на этапе устранения последствий и документирования.
Однако для полного вытеснения злоумышленников потребовалось пять дней. Через три дня после начала работ по устранению последствий злоумышленники опубликовали вредоносные образы Docker Hub для Trivy (версии 0.69.5 и 0.69.6), подтвердив, что их доступ не был заблокирован, как сообщили разработчики Trivy.
Особенностью этой атаки стало использование модифицированных тегов GitHub Actions для ссылки на вредоносное ПО без каких-либо видимых изменений в названии тега, датах публикации или странице релиза, что позволило злоумышленникам действовать незаметно.
Согласно отчету SANS, инцидент Trivy затронул более 10 000 рабочих процессов CI/CD. Каждый конвейер CI/CD, использовавший модифицированные GitHub Actions, автоматически выполнял вредоносный код, внедряя стилер TeamPCP и раскрывая секреты, учетные данные и инфраструктуру.
23 марта группа TeamPCP атаковала проект Checkmarx с открытым исходным кодом KICS, опубликовав вредоносные версии плагинов VS Code checkmarx.cx-dev-assist и checkmarx.ast-results.
Как и в случае с атакой Trivy, хакеры внедрили вредоносные программы в плагины, принудительно отправляя теги, указывающие на вредоносные коммиты. По данным SANS, в общей сложности было взломано 35 тегов версий GitHub Actions.
Как отмечает ReversingLabs, два расширения в совокупности скачаны более 36 000 раз и предназначены для использования в VS Code и совместимых интегрированных средах разработки (IDE), таких как Cursor, Kiro и Windsurf, что делает радиус поражения атаки очень большим.
На прошлой неделе TeamPCP также нацеливалась на экосистему NPM, используя токены доступа на чтение/запись для распространения вредоносного ПО и применяя тот же инструмент для кражи информации, что и при атаке на Trivy.
Атака на цепочку поставок NPM затронула как минимум 64 уникальных пакета и более 140 компонентов пакетов, внедрив вредоносное ПО, устанавливаемое во время работы системы и использующее перехват данных через протокол ICP для доставки исполняемых файлов.
Финальная полезная нагрузка CanisterWorm содержит компонент, использующий скомпрометированные учетные данные для публикации в NPM для внедрения полезной нагрузки в дополнительные пакеты.
Согласно данным Aikido, первоначально вредоносная программа была похожа на ту, что использовалась в атаке Trivy, но позже была обновлена компонентом червя, который позволял использовать собранные токены NPM и переменные окружения для запуска на их основе фонового процесса заражения дополнительных пакетов.
Каждый разработчик или конвейер CI, устанавливающий этот пакет и имеющий доступ к токену NPM, становится невольным вектором распространения.
Пакеты заражаются, их последующие пользователи устанавливают их, и если у кого-либо из них есть токены, цикл повторяется.
В результате на компанию Navia Benefit Solutions были украдены данные у HackerOne, которая теперь экстренно уведомляет около 300 своих сотрудников о том, что их персональные данные были скомпрометированы в результате утечки.
На прошлой неделе компания Navia, занимающаяся администрированием данных сотрудников HackerOne, сообщила об обнаружении несанкционированного доступа к своим системам 23 января.
По ходу расследования стало понятно, что злоумышленник находился в системах Navia в период с 22 декабря 2025 года по 15 января 2026 года.
Хакеры получили доступ к такой информации, как имена, даты рождения, номера социального страхования, номера телефонов, адреса электронной почты и данные о медицинском страховании.
Navia уведомила генеральную прокуратуру штата Мэн, что утечка данных потенциально затронула почти 2,7 миллиона человек.
В своем аналогичном уведомлении HackerOne сообщила, что недавно получила уведомление от компании Navia о том, что информация о 287 сотрудниках могла пострадать.
В HackerOne заявили, что уведомление от Navia датировано 20 февраля, но доставлено было только в марте.
В настоящий момент HackerOne проводит собственное расследование для оценки инцидента и активно взаимодействует с Navia, чтобы лучше понять причины и резервы в безопасности.
Пока доказательств неправомерного использования украденных данных не получено.
Но будем посмотреть.
В дополнение к предыдущему посту не можем не отметить следующее.
По данным Wiz, атака, по всей видимости, была осуществлена путем взлома учетной записи службы cx-plugins-releases, при этом злоумышленники также опубликовали троянизированные версии расширений Open VSX ast-results (версия 2.53.0) и cx-dev-assist (версия 1.7.0). Версии из VS Code Marketplace не затронуты.
После активации расширения вредоносная ПО проверяет, есть ли у жертвы учетные данные хотя бы для одного поставщика облачных услуг, такого как GitHub, AWS, Google Cloud и Microsoft Azure.
Если такие учетные данные обнаружены, программа переходит к загрузке следующего этапа вредоносной ПО с того же домена (checkmarx[.]zone).
Как отметили в Wiz, вредоносная ПО пытается выполнить свою задачу через npx, bunx, pnpx или yarn dlx. Это охватывает основные менеджеры пакетов JavaScript.
Полученный пакет содержит комплексный инструмент для кражи учетных данных.
Собранные учетные данные затем шифруются с использованием ключей, как и в других местах этой кампании, и передаются в checkmarx[.]zone/vsx в виде tpcp.tar.gz.
В системах, не использующих CI, вредоносное ПО устанавливает постоянное присутствие через службу systemd.
Скрипт опрашивает https://checkmarx[.]zone/raw каждые 50 минут на наличие дополнительных полезных нагрузок, с функцией аварийного завершения, которая прерывает работу, если ответ содержит «youtube».
В настоящее время ссылка перенаправляет на песню The Show Must Go On группы Queen.
Также было замечено, что хакеры атакуют кластеры Kubernetes с помощью вредоносного скрипта, который удаляет все данные с машин, когда обнаруживает системы, соответствующие иранскому часовому поясу и локали, что свидетельствует о новом уровне эскалации этой группы. Но это уже другая история.
Хакеры из TeamPCP, стоящие за атакой на цепочку поставок Trivy, продолжили атаковать Aqua Security, распространяя вредоносные образы Docker и взламывая организацию компании на GitHub, вмешиваясь в работу десятков репозиториев.
Это произошло после того, как злоумышленник взломал конвейер сборки GitHub для сканера Trivy от Aqua Security для распространения инфостилера, в ходе атаки на цепочку поставок, которая в выходные распространилась и на Docker Hub.
Socket в своем отчете сообщила об обнаружении скомпрометированных артефактов Trivy, опубликованных в Docker Hub. Новые теги образов 0.69.5 и 0.69.6 были загружены 22 марта без соответствующих релизов или тегов в GitHub.
Согласно анализу исследователей, эти два образа содержат признаки компрометации, связанные с вредоносной ПО, которую TeamPCP запустила после получения доступа к организации Aqua Security в GitHub.
Исследователи отмечают, что последняя известная версия Trivy - 0.69.3, и предупреждают, что даже если они не обнаружили никаких признаков изменения более старых образов или бинарных файлов после публикации, «теги Docker Hub не являются неизменяемыми, и организациям не следует полагаться исключительно на имена тегов для обеспечения целостности».
Со своей стороны Aqua выпустила обновление и отметила, что 22 марта выявила дополнительную подозрительную активность: те же злоумышленники восстановили несанкционированный доступ и совершили «несанкционированные изменения и вмешательство в репозиторий».
Компания отметила, что, несмотря на эти новые обстоятельства, на данный момент это никак не повлияло на Trivy.
Анализ, проведенный OpenSourceMalware объясняет, что TeamPCP получила доступ к aquasec-com на GitHub, где Aqua Security размещает свой собственный код, отдельно от aquasecurity на GitHub для публичных репозиториев.
Используя автоматизированный скрипт, хакерам потребовалось около двух минут, чтобы добавить префикс tpcp-docs- ко всем 44 репозиториям, доступным в GitHub компании, и изменить все описания на «TeamPCP владеет Aqua Security».
Исследователи с высокой степенью уверенности установили, что злоумышленник получил доступ, взломав учетную запись службы под названием Argon-DevOps-Mgt, которая имела доступ к обеим организациям Aqua Security на GitHub.
Согласно данным OpenSourceMalware, целевая учетная запись службы авторизовывала действия на основе персонального токена доступа (PAT) обычного пользователя, а не приложения GitHub.
Проблема заключается в том, что аутентификация PAT работает как пароль и действительна в течение более длительного периода, чем токен приложения GitHub. Кроме того, служебная учетная запись обычно используется для автоматизированных задач и не имеет MFA.
Чтобы проверить, что у учетной записи есть права администратора для публичных и частных организаций AquaSec на GitHub, команда TeamPCP создала новую ветку update-plugin-links-v0.218.2 в публичном репозитории aquasecurity/trivy-plugin-aqua, которую затем удалила «в ту же самую секунду».
Исследователи полагают, что хакеры получили PAT для сервисной учетной записи Argon-DevOps-Mgt, используя программу-стилер TeamPCP Cloud, которая собирает токены GitHub, SSH-ключи, облачные учетные данные и переменные среды с CI-серверов.
Поскольку это служебная учетная запись, запускающая рабочие процессы в trivy-plugin-aqua, ее токен присутствовал в среде выполнения.
OpenSourceMalware предоставила набор IOCs, которые могут помочь определить, пострадали ли их среды от атаки на цепочку поставок.
Aqua Security заявляет, что у нее нет доказательств того, что версия Trivy, используемая в ее коммерческих продуктах, была затронута. По своей конструкции, форкнутая версия коммерческой платформы отстает от открытого исходного кода Trivy с контролируемым процессом интеграции.
Однако Aqua Security пообещала сообщать о новых подробностях по мере их появления и опубликовать дополнительные результаты. Продолжаем следить.
🌐 Современный Wi-Fi и его безопасность!
• Тема атак на беспроводные сети по‑прежнему остается одной из самых актуальных в сфере информационной безопасности.
• Из этого содержательного и очень объемного материала вы узнаете, как атакуют современный Wi-Fi и какие эффективные методы необходимо использовать для защиты беспроводных сетей:
➡ Читать статью [Часть 1], [20 min].
➡ Читать статью [Часть 2], [30 min].
• Дополнительно:
➡Большой FAQ про Wi-Fi: хороший чек-лист, который содержит ответы на всевозможные вопросы, которые так или иначе связанны с Wi-Fi. Автор на протяжении 20 лет занимается беспроводными технологиями и начал вести данный список еще в самом начале своей карьеры.
➡Анализ безопасности Wi-Fi: подробное исследование методологии взлома протоколов WPA2-Personal / Enterprise и WPA3 (какие атаки и уязвимости существуют, и какой инструментарий применяется для их эксплуатации).
➡Пентест Wi-Fi: полезный чек-лист, который содержит актуальные советы и хитрости на тему пентеста Wi-Fi сетей.
➡Инструменты для пентеста Wi-Fi: продолжение поста выше, статья включает в себя максимально полный список инструментов для анализа защищенности Wi-Fi.
➡MindMap WiFi Hacking: самая объемная и актуальная MindMap по анализу защищенности Wi-Fi на сегодняшний день.
➡Useful Wireless Links: учебные пособия, справочники, калькуляторы, софт, гаджеты и многое другое.
S.E. ▪️ infosec.work ▪️ VT
Солары выкатили отчет с техническим разбором ClayRat, вредоносного ПО для Android, относящегося к классу Spyware/RAT, которое функционально предназначено для скрытого наблюдения за пользователем и удаленного управления зараженным устройством.
В аналогичных исслкедованиях Zimperium (1 и 2) также был представлен технический разбор нагрузок и примеры массового распространения вредоноса. Однако Солары обратили основное внимание на серверную часть и подвели общий итог активности ClayRat.
Вредонос способен перехватывать SMS-сообщения и журнал вызовов, получать доступ к контактам, делать фотографии, запись экрана, а также отправлять команды с C2. Распространяется преимущественно через фишинговые сайты и под видом легитимных приложений.
Бэкенд написан на Go (1.24), не обфусцирован, содержит дебаг-строк и использует файловое хранение (JSON) вместо СУБД. APK-билдер генерирует вредоносные приложения на основе шаблона, подставляя конфигурируемые параметры.
Конфигурация хранится в plaintext: пароли пользователей, токены Telegram/SMS, C2-домены, - что создает дополнительные риски при компрометации панели.
Фильтрация SMS реализует многоуровневый парсинг: поиск по ключевым словам банков, МФО, маркетплейсов, поиск номеров карт по регулярным выражениям и т.д.
Инфраструктура использовала домен kpmail[.]su и массив C2-серверов (~100 IP). Примечательно, что домен фигурирует не только в инфраструктуре ClayRat: он также встречается в индикаторах компрометации бэкдора DCRAT, где ему соответствует поддомен dcrat[.]kpmail[.]su.
Но к декабрю 2025 года все C2-серверы стали недоступны. Как оказалось дело в том, что согласно открытым источникам в Краснодаре задержали студента, который подозревался в создании вредоноса ClayRat.
Таким образом, активность ClayRat, вероятно, прекратилась после задержания. В этой связи история ClayRat во многом повторяет судьбу Gorilla: после громкого старта и быстрого масштабирования инфраструктуры проект стремительно угас.
Вредонос, который привлек к себе широкое внимание в октябре 2025 года, к декабрю того же года потерял все командные серверы. Как отмечает Солары, проект отгремел ярко, но быстро во многом из-за фундаментальных просчетов его автора.
Все технические подробности и IOCs - в отчете.
Новая атака на цепочку поставок: на прошлой неделе популярный сканер уязвимостей с открытым исходным кодом Trivy от Aqua Security был взломан.
Инцидент приписывается группе злоумышленников, известной как TeamPCP, которая распространяла вредоносное ПО для кражи учетных данных через официальные релизы и GitHub Actions.
Trivy - достаточно популярный сканер безопасности, помогающий выявлять уязвимости, неправильные конфигурации и раскрытые секреты в контейнерах, средах Kubernetes, репозиториях кода и облачной инфраструктуре.
Впервые о взломе сообщил исследователь Пол Маккарти, предупредив, что Trivy в версии 0.69.4 содержит бэкдор, через который публикуются вредоносные образы контейнеров и релизы GitHub.
Дальнейший анализ Socket и Wiz (1 и 2 соответственно), показал, что атака затронула множество GitHub Actions, скомпрометировав почти все теги версий репозитория trivy-action.
Исследователи обнаружили, что злоумышленники скомпрометировали процесс сборки Trivy на GitHub, заменив файл entrypoint.sh в GitHub Actions вредоносной версией и опубликовав троянизированные бинарные файлы в релизе Trivy v0.69.4.
Оба действия действовали как инфостилеры в основном сканере и связанных с ним GitHub Actions, включая trivy-action и setup-trivy .
Злоумышленники воспользовались скомпрометированными учетными данными, содержащими доступ на запись в репозиторий, что позволило им публиковать вредоносные релизы.
Задействованные в атаке учетные данные связаны были связаны с более ранним инцидентом, произошедшим в марте, когда важные креды были похищены из среды Trivy и не были полностью ротированы.
Злоумышленник принудительно добавил 75 из 76 тегов в репозиторий aquasecurity/trivy-action, перенаправив их на вредоносные коммиты.
В результате любые внешние рабочие процессы, использующие затронутые теги, автоматически выполняли вредоносный код до запуска легитимных сканирований Trivy, что затрудняло обнаружение взлома.
По данным Socket, злоумышленник, занимавшийся кражей информации, собирал разведданные и сканировал системы на предмет наличия широкого спектра файлов и мест, где, как известно, хранится широкий спектр учетных данных и секретных ключей аутентификации.
Вредоносный скрипт также сканирует области памяти, используемые процессом GitHub Actions Runner.Worker, на наличие строки JSON " " <name> ":{ "value": "<secret>", "isSecret":true}" для поиска дополнительных секретных ключей аутентификации.
На компьютерах разработчиков зараженный троянами бинарный файл Trivy выполнял аналогичный сбор данных, собирая переменные среды, сканируя локальные файлы на наличие учетных данных и перечисляя сетевые интерфейсы.
Собранные данные шифруются и сохраняются в архив с именем tpcp.tar.gz, который затем передается на сервер С2 по адресу scan.aquasecurtiy[.]org.
Если утечка данных не удавалась, вредоносная ПО создавала общедоступный репозиторий с именем tpcp-docs в учетной записи GitHub жертвы и загружала украденные данные туда.
Для закрепления на скомпрометированном устройстве вредоносная ПО также устанавливала полезную нагрузку на Python в файл ~/.config/systemd/user/sysmon.py и регистрировала его как службу systemd.
Она проверяла удаленный сервер на наличие дополнительных полезных нагрузок для установки, предоставляя злоумышленнику постоянный доступ к устройству.
Исследователи Sansec сообщают, что недавно обнаруженная уязвимость, получившая название PolyShell, затрагивает все установленные версии Magento Open Source и Adobe Commerce stable version 2, позволяя выполнять несанкционированный код и захватывать учетные записи.
Признаков активного использования уязвимости в реальных условиях пока нет, однако Sansec предупреждает, что метод эксплуатации уже распространяется и ожидает скорого начала автоматизированных атак.
В свою очередь, Adobe выпустила исправление, но оно доступно только во второй альфа-версии 2.4.9, что делает уязвимыми рабочие версии.
Sansec полагают, что Adobe предлагает «пример конфигурации веб-сервера, который в значительной степени ограничит последствия», но большинство магазинов используют настройку от своего хостинг-провайдера.
Согласно отчету исследователей, проблема безопасности заключается в том, что REST API Magento принимает загрузку файлов в качестве части пользовательских опций для товара в корзине.
Когда у опции товара указан тип file, Magento обрабатывает встроенный объект file_info, содержащий закодированные в base64 данные файла, MIME-тип и имя файла. Файл записывается в папку pub/media/custom_options/quote/ на сервере.
В связи с чем, Sansec отметили, что название PolyShell происходит от использования полиглотного файла, который может выступать одновременно и в качестве изображения, и в качестве скрипта.
В зависимости от конфигурации веб-сервера, уязвимость может привести к RCE или захвату учетной записи посредством XSS-атаки, что затронет большинство проанализированных исследователями хранилищ.
Sansec провела расследование во всех известных магазинах, использующих платформы Magento и Adobe Commerce, обнаружив, что во многих из них файлы находятся в каталоге для загрузки.
До тех пор, пока Adobe не выпустит исправление для рабочих версий, администраторам рекомендуется:
- ограничить доступ к pub/media/custom_options/;
- убедиться, что правила nginx или Apache действительно блокируют доступ к этому ресурсу;
- просканировать магазины приложений на наличие загруженных шелл, бэкдоров или другого вредоносного ПО.
Подкатила новая утечка - BlueLeaks 2.0: называющая себя Internet Yiff Machine группа хактивистов утверждает, что, используя уязвимости, смогла взломать платформу правоохранительных органов P3 Global Intel под управлением Navigate360.
После эксфильтрации содержимого общим размером в более чем 93 ГБ Internet Yiff Machine слил данные платформы журналистам (здесь) и админам проекта DDoSecrets (здесь).
BlueLeaks 2.0 содержит миллионы сообщений и информации о предполагаемых преступлениях и террористических актах, поступавших в P3 Global Intel на протяжении нескольких десятилетий.
При этом поступающая информация используются разведывательными и правоохранительными органами по всей территории США и в ряде других стран, а также десятками тысяч школ. Это своего рода «платформа №1» для центров анализа информации и разведподразделений.
Данные также включают информацию об учетных записях клиентов компании, а также копии запросов в службу поддержки, отправленных пользователями. Кроме того, также и переписку между информаторами и теми, кто получал информацию о преступлениях.
Тематика доносов варьируются от обвинений в мелком воровстве до серьезных преступлений, включая торговлю людьми, жестокое обращение с детьми и терроризм.
Причем утечка охватывают период с 1987 года, учитывая, что P3 с момента своего основания постоянно интегрировала в свою систему старые сообщения о преступлениях, которые ранее поступали через колл-центры.
Опубликованные данные опровергают некоторые заявления P3, прежде всего по части шифрования хранящихся в системе данных, поскольку они были получены хакерами в открытом виде.
P3 также заявляет, что процесс сбора информации и обмена сообщениями является анонимным, однако слитые сведения указывают на то, что администраторам тайно предоставляется возможность деанонимизировать пользователей.
По прошествии почти десятилетия оборона Xbox One пала. Исследователь Маркус Гааседелен на RE//verse 2026 анонсировал «революционный» взлом консоли от Microsoft.
Xbox One оставалась «неприступной крепостью» с момента своего выпуска в 2013 году, но теперь и ее распечатали.
Подобно тому, как Xbox 360 стал жертвой взлома с помощью Reset Glitch Hack (RGH), Xbox One была распакована с помощью Voltage Glitch Hacking (VGH).
ThreatFabric в своем отчете препарирует новую вредоносную ПО для Android под названием Perseus, которая шерстит по созданным пользователями заметкам для кражи конфиденциальной информации, включая пароли, фразы восстановления или финансовые данные.
Распространяемый через неофициальные магазины под видом IPTV, Perseus позволяет полностью захватывать управление устройством, делать скриншоты и проводить атаки с использованием наложений.
Злоумышленник, выдавая себя за приложения IPTV, нацеливается на то, что пользователь сможет установить APK вне Google Play, игнорируя при этом предупреждения системы безопасности.
Подобная легенда задействуется в последние восемь месяцев, поскольку пользователи ищут бесплатные или недорогие способы доступа к прямым трансляциям спортивных событий.
В недавней аналогичной кампании злоумышленники также использовали приложение IPTV в качестве приманки для аспространения банковского вредоносного ПО Massiv для Android.
По данным ThretFabric, Perseus, в первую очередь, нацелен на финансовые учреждения в Турции и Италии, а также на криптовалютные сервисы.
Одно из приложений, загружающих вредоносное ПО, называется Roja Directa TV, это популярный сервис потокового вещания спортивных трансляций, который не раз становился объектом нарушений авторских прав и блокировок.
Программа-дроппер для Perseus может обходить ограничения на установку вредоносных ПО из сторонних источников в Android 13+ и является той же самой, что используется для распространения вредоносных ПО Klopatra и Medusa.
Как отмечают исследователи, Perseus, по всей видимости, базируется на коде Phoenix, который, в свою очередь, унаследовал код Cerberus, просочившийся в сеть почти шесть лет назад.
Вредоносная ПО имеет две версии: одна на турецком языке, а другая, более усовершенствованная, на английском, которая также отличается улучшенной отладкой и дополнительными функциями, повышающими удобство использования.
В английском варианте код содержит обширные записи логов и эмодзи, что является убедительным свидетельством использования инструментов ИИ в процессе разработки.
В списке целевых финансовых учреждений страны также прослеживается ориентация на Турцию (17), за которой следуют Италия (15), Польша (5), Германия (3) и Франция (2). Вредоносное ПО также нацелено на 9 приложений для криптовалют.
Злоупотребляя службами специальных возможностей Android, Perseus предоставляет операторам полный удаленный контроль над зараженными устройствами, позволяя им: делать снимки экрана, имитировать различные виды касаний, включать экран, запускать приложения, производить наложения экрана, осуществлять перехват нажатий клавиш и др.
Перед запуском Perseus проводит обширные проверки на предмет защиты от анализа, включая получение root-прав, отпечатков эмуляторов, данных SIM, профиля оборудования, данных о батарее, наличия Bluetooth, количества приложений и доступности сервисов Google Play, а также формирует «оценку подозрительности». На основании этого показателя оператор решает, следует ли продолжать кражу данных.
Наиболе примечательная функция Perseus нацелена на приложения для создания заметок на Android, включая Google Keep, Xiaomi Notes, Samsung Notes, ColorNote, Evernote, Microsoft OneNote и Simple Notes.
Исследователи ThreatFabric отмечают, что это первый случай, когда они обнаружили вредоносное ПО для Android, проверяющее конфиденциальную информацию в личных заметках на устройстве, что отражает более широкий интерес к контекстным и персонализированным данным.
ConnectWise предупреждает клиентов ScreenConnect об уязвимости в проверке криптографической подписи, которая может привести к несанкционированному доступу и повышению привилегий.
Уязвимость затрагивает все версии ScreenConnect до 26.1 включительно. Она отслеживается как CVE-2026-3564 и получила критическую оценку серьезности.
ScreenConnect представляет собой платформу удаленного доступа, обычно используемая MSP-поставщиками, ИТ-отделами и группами поддержки. Она может размещаться в облаке компании ConnectWise или локально на сервере заказчика.
Злоумышленник может использовать эту уязвимость в системе безопасности для извлечения и использования ключей ASP.NET для несанкционированной аутентификации сеансов.
Как поясняют в ConnectWise, если ключевой материал машины для экземпляра ScreenConnect будет раскрыт, злоумышленник сможет генерировать или изменять защищенные значения таким образом, что экземпляр сможет принять их за допустимые.
Это может привести к несанкционированному доступу и несанкционированным действиям в рамках ScreenConnect.
Производитель решил эту проблему, добавив более надежную защиту ключей машины, включая зашифрованное хранение и улучшенную обработку, начиная с версии ScreenConnect 26.1.
Пользователи облачных сервисов были автоматически переведены на безопасную версию, однако системным администраторам, управляющим локальными развертываниями, необходимо как можно скорее обновиться до версии 26.1.
ConnectWise также заявила, что исследователи зафиксировали попытки злоупотребления раскрытыми данными о ключах доступа к ASP.NET в реальных условиях.
Однако на текущий момент нет доказательств активной эксплуатации в ScreenConnect, размещенном на серверах ConnectWise, именно CVE-2026-3564, как и IoC, которыми она могла бы поделиться с защитниками.
Тем не менее, в компании призывают всех исследователей, подозревающих или выявивших реальную эксплуатацию, ответственно раскрывать информацию, чтобы полученные данные могли быть подтверждены и надлежащим образом учтены.
Вместе с тем, высказываются предположения, что китайские хакеры активно использовали эту уязвимость в течение многих лет, но неясно, была ли использована та же самая уязвимость в системе безопасности.
Помимо обновления ScreenConnect до 26.1, поставщик также рекомендует ужесточить контроль доступа к файлам конфигурации и секретным данным, проверять журналы на предмет необычной активности аутентификации, защищать резервные копии и старые снимки данных, а также поддерживать расширения в актуальном состоянии.
Исследователи раскрыли 9 критических уязвимостей IP KVM, которые позволяют получать несанкционированный доступ с правами root и контроль над скомпрометированными хостами.
Устройства IP KVM обеспечивают удаленный доступ к клавиатуре, видеовыходу и мыши целевого компьютера на уровне BIOS/UEFI.
Обнаруженные Eclypsium проблемы затрагивают четыре различных продукта: GL-iNet Comet RM-1, Angeet/Yeeso ES3 KVM, Sipeed NanoKVM и JetKVM. Наиболее серьезные из них позволяют неавторизованным пользователям получить root-доступ или запустить вредоносный код.
Среди общих дефектов исследователи выделили: отсутствие проверки подписи прошивки, отсутствие защиты от брута, неработающие механизмы контроля доступа и открытые интерфейсы отладки, а их перечень выглядит следующим образом:
- CVE-2026-32290 (CVSS: 4.2): недостаточная проверка подлинности прошивки в KVM-переключателе GL-iNet Comet (планируется исправление);
- CVE-2026-32291 (CVSS: 7.6): проблема доступа к корневому каталогу универсального асинхронного приемопередатчика (UART) в KVM-сервере GL-iNet Comet (планируется исправление);
- CVE-2026-32292 (CVSS: 5.3): недостаточная защита от брут-атак в GL-iNet Comet KVM (исправлено в версии 1.8.1 BETA);
- CVE-2026-32293 (CVSS: 3.1): небезопасное первоначальное выделение ресурсов через неаутентифицированное облачное соединение в GL-iNet Comet KVM (исправлено в версии 1.8.1 BETA);
- CVE-2026-32294 (CVSS: 6.7): недостаточная проверка обновлений в JetKVM (исправлено в версии 0.5.4);
- CVE-2026-32295 (CVSS: 7.3): недостаточное ограничение скорости запросов в JetKVM (исправлено в версии 0.5.4);
- CVE-2026-32296 (CVSS: 5.4): раскрытие конфигурации конечной точки в Sipeed NanoKVM (исправлено в NanoKVM версии 2.3.1 и Pro 1.2.4);
- CVE-2026-32297 (CVSS: 9.8): отсутствие аутентификации для критической функции в Angeet ES3 KVM, приводящая к RCE (исправление отсутствует);
- CVE-2026-32298 (CVSS: 8.8): внедрение команд ОС в Angeet ES3 KVM (исправление отсутствует).
Как отмечает исследователи, это не какие-то экзотические 0-day, а просчеты в фундаментальных мерах безопасности, которые должны быть реализованы на любом сетевом устройстве.
Злоумышленник может использовать эти уязвимости для внедрения нажатий клавиш, загрузки со съемных носителей с целью обхода шифрования диска или защиты Secure Boot, обхода экранов блокировки и доступа к системам, и, что более важно, оставаться незамеченным ПО безопасности, установленным на уровне ОС.
Причем, это уже не первый случай обнаружения проблем в IP KVM-устройствах. Так, в июле 2025 года Positive Technologies выявляла пять уязвимостей в коммутаторах ATEN International (CVE-2025-3710, CVE-2025-3711, CVE-2025-3712, CVE-2025-3713 и CVE-2025-3714), которые могли привести к DoS и RCE.
В качестве мер по снижению рисков рекомендуется внедрить MFa там, где это поддерживается, изолировать KVM-устройства в выделенной управляющей VLAN, ограничить доступ в Интернет, использовать такие инструменты, как Shodan, для проверки на наличие внешних угроз, отслеживать неожиданный сетевой трафик к/от устройств и поддерживать прошивку в актуальном состоянии.
Ведь, как заявляют в Eclypsium, злоумышленник, взломавший KVM-переключатель, способен скрывать инструменты и бэкдоры на самом устройстве, повторно заражая хост-системы даже после устранения проблемы.