39806
Руки-ножницы российского инфосека. Для связи - mschniperson@mailfence.com
Socket раскрыла новую атаку на цепочку поставок под названием Sandworm_Mode в реестре NPM: вредоносный код распространяется подобно червю, компрометирует системы ИИ, крадет секреты и содержит разрушительный «выключатель».
Sandworm_Mode был реализован через 19 пакетов, опубликованных под двумя псевдонимами, которые использовали метод тайпсквоттинга, обманом заставляя разработчиков выполнить вредоносный код.
По данным Socket, эта атака имеет характерные черты кампании Shai-Hulud, затронувшей в сентябре и ноябре 2025 года около 800 пакетов NPM.
Sandworm_Mode использует украденные учетные данные NPM и GitHub для распространения вредоносного ПО и применяет модифицированный GitHub Action для сбора и кражи секретов CI, а также для внедрения зависимостей и рабочих процессов в репозитории.
Вредоносные пакеты (все из которых были удалены из реестра) мимикрировали под популярные утилиты для разработчиков, криптографические инструменты и утилиты для программирования ИИ, такие как Claude Code и OpenClaw.
Для создания ИИ-помощников в программировании вредоносный код устанавливает поддельный MCP-сервер (нацеленный на Claude Code, Cursor, Continue и Windsurf) и использует внедрение подсказок для утечки SSH-ключей, учетных данных AWS, токенов NPM и других секретов.
Код также собирает ключи API для поставщиков LLM, переменные среды и файлы .env, и проверяет их. Кроме того, он вызывает локальный экземпляр Ollama для изменения имен переменных, перезаписи потоков управления, вставки кода-приманки и кодирования строк.
Sandworm_Mode реализует многоэтапную атаку, в ходе которой первоначальная кража учетных данных и криптографических ключей сопровождается глубоким сбором секретов из менеджеров паролей, внедрением MCP-сервера, обеспечением постоянного присутствия через Git-хуки, распространением червя и многоканальной эксфильтрацией.
Подобная двухэтапная схема разработана намеренно: наиболее разрушительная с финансовой точки зрения операция, кража криптографических ключей, выполняется мгновенно и безоговорочно, в то время как более «рискованные» операции откладываются, чтобы избежать кратковременного анализа в «песочнице».
В коде также предусмотрена настраиваемая, но неактивная функция "мертвого выключателя", позволяющая инициировать очистку домашнего каталога при потере доступа к GitHub и NPM.
Исследователи EndorLabs, в свою очередь, отметили, что как и в случае с Shai-Hulud, Sandworm_Mode распространяется путем заражения существующих пакетов.
Но также может использовать для распространения пакетов-носителей, добавляя ссылку на зависимость для запуска процесса запроса на слияние в GitHub Actions и сбора и извлечения всех секретов репозитория.
Разработчикам рекомендуется удалить все установленные вредоносные пакеты, проверить свои пакеты на наличие последних изменений в JSON-файлах и наличие непредвиденных рабочих процессов, а также обновить все учетные данные, токены и секреты CI в GitHub и NPM.
Исследователи F6 в новом отчете обращают внимание на вымогателей с востока, которым удалось атаковать более 40 российских компаний менее чем за год.
Действующая в формате RaaS персидская C77L появилась в марте 2025 года и нацелена на российские и белорусские предприятия малого и среднего бизнеса преимущественно в сферах торговли, производства и услуг.
Помимо этого среди пострадавших оказались и государственные компании. В целом же, по итогам 2025 C77L заняла шестое место по количеству атак с использованием ransomeware.
Часто восточные партнерские программы строятся относительно программ-вымогателей, например: Proton, LokiLocker, Sauron, Mimic, HardBit, Enmity и другие.
Причем имеют достаточно закрытый формат, но при этом они связаны друг с другом: многие преступные группы могут быть участниками нескольких RaaS.
Исследователи полагают, что C77L была образована в отдельную партнерскую программу участниками Proton.
В среднем суммы первоначального выкупа, которые запрашивали в биткоинах участники C77L за расшифровку данных, варьировались от 400 000 до 2 400 000 рублей (5000–30 000 долл.).
Причем сами атаки RaaS скоротечны: злоумышленники не ставят перед собой задачу украсть данные жертв, а сосредоточены исключительно на шифровании данных для получения быстрой и главное - стабильной прибыли.
Восточные шифровальщики используют схожие концептуальные идеи и характеризуются большим числом одновременно используемых версий и форков.
Программа-вымогатель C77L не стала исключением, она имеет схожие черты с такими семействами, как Proton, Proxima и LokiLocker.
Программа-вымогатель C77L разработана на языке программирования С++ и отличается высокой скоростью шифрования файлов. За девять месяцев разработчиками было выпущено уже пять версий ransomeware.
Как отмечают в F6, основным первоначальным вектором атаки C77L служит брут паролей учетных записей публично доступных служб удаленного доступа (RDP и VPN). При этом обычно проникновение злоумышленников в инфраструктуру жертвы происходит в ночное время.
Целевыми объектами атак являются Windows-системы, как самые распространенные операционные системы в ИТ-инфраструктурах среднего и малого бизнеса.
Атакующие C77L демонстрируют в атаках те же техники, что и другие персидские группировки, не отличаясь какими либо изощренными и инновационными методами.
Злоумышленникам не требуется высокая квалификация - при проведении атак руководствуются шаблонными инструкциями и используют для автоматизации большинства действий готовые скрипты.
Тем не менее, большинство атак на российские и белорусские предприятия заканчивались успехом атакующих.
Технические подробности исследования - в отчете F6.
Кроме того, дополнительная информация по штаммам ransomware и группировкам из багажа F6 доступна на GitHub - здесь.
💻Windows latest опубликовали гайд на английском: как вручную отключить 🤖ИИ-функции в Windows 11.
Оглавление:
1. Как полностью удалить приложение Copilot
2. Удалите логотип Copilot из поиска Windows.
3. Удалите действия ИИ из меню Проводника.
4. Как отключить Copilot в браузере Edge
5. Удаление функций Copilot из Блокнота для Windows 11
6. Удалите функции искусственного интеллекта из приложения «Фотографии» в Windows.
7. Как отключить функции искусственного интеллекта в приложении Paint
8. Удалите функции искусственного интеллекта из Outlook.
9. Удалите функции искусственного интеллекта из OneDrive.
10. Отключение Gaming Copilot в Windows 11
11. Отключение эффектов Windows Studio на компьютерах с Copilot+.
12. Как отключить и полностью удалить функцию «Запись событий Windows».
13. Отключите функцию «Click to Do» на компьютерах Copilot+.
Критическая CVE-2026-2329 в телефонных системах Grandstream может быть использована без аутентификации для удаленного выполнения кода с правами root на целевом устройстве.
Как сообищает Rapid7, критическая уязвимость описывается как переполнение буфера в стеке и затрагивает телефоны серии GXP1600 от Grandstream, фактически позволяя злоумышленникам перехватывать звонки.
GXP1600 представляет собой линейку базовых настольных VoIP-телефонов, используемых в основном малыми и средними предприятиями.
Злоумышленник может использовать эту уязвимость для извлечения секретной информации из уязвимых телефонов, включая локальные и SIP-учетные данные, что позволит перехватывать звонки и прослушивать разговоры.
Получив root-доступ, злоумышленник может перенастроить параметры SIP устройства, чтобы они указывали на инфраструктуру, которую он контролирует - вредоносный SIP-прокси.
Звонки по-прежнему будут поступать, а дисплей - загораться. Пользователь услышит гудок, однако каждый звонок перед этим будет проходить через «чужие руки».
Для реализации замысла злоумышленнику не потребуется устанавливать прослушивающие устройства, подгонять технику с антеннами. Вся операция будет тихим, незаметным перехватом трафика.
Все разговоры о контрактах, переговорах, юридические аспекты, возможно, даже деликатные личные вопросы - все будет передаваться в режиме реального времени. Вместе с тем, эксплуатация потребует продвинутых знаний и навыков.
Дело в том, что механизм эксплуатации не подразумевает какого-либо ZeroClick-эксплойта, лежащая в основе уязвимости проблема просто снижает барьер для вредоносных действий, если целевые устройства базируются в открытых или слабо сегментированных средах.
Вероятно, желающие попробовать CVE-2026-2329 в деле, все же найдутся, ведь ранее киберподполье уже нацеливалось на уязвимости в продуктах Grandstream, в том числе для включения в ботнеты.
Grandstream уведомили об уязвимости в январе, исправленная версия прошивки (1.0.7.81) была выпущена чуть более чем через неделю. Rapid7 представила технические подробности, Grandstream опубликовала собственное уведомление по этой проблеме.
Исследователи Jamf поделились своими открытиями по части известного шпионского ПО Predator от Intellexa, которое, как оказалось, способно скрывать индикаторы записи на iOS, одновременно тайно передавая видеопоток с камеры и микрофона операторам.
При этом вредоносная ПО не полагается уязвимости iOS, а применяет ранее полученный доступ на уровне ядра для перехвата системных индикаторов, которые в противном случае раскрыли бы ее операцию кибешпионажа.
В iOS 14 разработчики Apple добавили индикаторы записи в строку состояния, которые предупреждают пользователей об использовании камеры или микрофона, отображая соответственно зеленую или оранжевую точку.
Несмотря на то, что упомянутая способность подавлять индикаторы активности камеры и микрофона хорошо известна, механизм его работы оставался неясным.
В Jamf проанализировали образцы Predator и по итогам смогли задокументировать весь процесс сокрытия индикаторов, связанных с конфиденциальностью.
По данным Исследователей, Predator скрывает все индикаторы записи на iOS 14, используя единственную функцию-перехватчик (HiddenDot::setupHook()) внутри SpringBoard.
Перехватывая данные, Predator предотвращает попадание обновлений активности датчиков в пользовательский интерфейс, поэтому зеленая или красная точка никогда не загорается.
Целевой метод _handleNewDomainData: вызывается iOS всякий раз, когда изменяется активность датчиков - включается камера, активируется микрофон и т.д.
Благодаря этому единственному методу, Predator перехватывает практически все обновления состояния датчиков до того, как они достигнут системы индикации.
Механизм работает путем обнуления объекта, отвечающего за обновление данных с датчиков (SBSensorActivityDataProvider в SpringBoard).
В Objective-C вызовы к нулевому объекту игнорируются без уведомления, поэтому SpringBoard никогда не обрабатывает активацию камеры или микрофона, а индикатор не отображается.
Поскольку SBSensorActivityDataProvider агрегирует всю активность датчиков, этот единственный хук отключает индикаторы как камеры, так и микрофона.
Исследователи также обнаружили «мертвый код», который пытался напрямую перехватить SBRecordingIndicatorManager.
Однако он не выполняется и, вероятно, является результатом более ранней разработки, от которого отказались в пользу более совершенного подхода, предполагающего перехват данных с датчиков на более высоком уровне. В реальности - все может быть иначе, помним Триангуляуцию.
В случае с записями VoIP, которые также поддерживаются Predator, отвечающий за это модуль не имеет механизма подавления индикации, поэтому для обеспечения скрытности применяется функция HiddenDot.
Jamf также пояснила, что доступ к камере обеспечивается через отдельный модуль, который определяет внутренние функции камеры, используя сопоставление шаблонов инструкций ARM64 и перенаправление кода аутентификации указателя (PAC) для обхода проверок разрешений камеры.
Без подсветки индикаторов в строке состояния шпионское ПО остается полностью скрытым для обычного пользователя.
Jamf отмечает, что технический анализ позволяет выявлять признаки вредоносных процессов: неожиданное отображение памяти или порты исключений в SpringBoard и mediaserverd, обработчики на основе точек останова и аудиофайлы, записанные mediaserverd в необычные пути.
В самой Apple пока никак не комментируют результаты исследования.
Лаборатория Касперского препарировала ранее неизвестный стилер под названием Arkanix Stealer, рекламу которого исследователи заметили в даркнете, начиная с октября 2025 года.
В рекламных постах подробно описывались возможности зловреда и содержалась ссылка на Discord, который выступал в качестве основного канала общения между автором и потенциальными клиентами.
В ходе дальнейшего исследования был выявлен также набор связанных имплантов.
Начальный вектор заражения достоверно неизвестен. Тем не менее названия некоторых файлов скриптов-загрузчиков указывают на фишинг.
Arkanix Stealer распространялся по модели MaaS, при этом клиенты получали не только сам имплант, но и доступ к панели управления с возможностью конфигурирования полезных нагрузок и просмотра статистики.
Среди имплантов был замечен общедоступный инструмент постэксплуатации под названием ChromElevator.
Для его доставки использовалась нативная версия стилера, написанная на C++, которая обладает широким набором возможностей - от сбора информации о системе до кражи данных криптовалютных кошельков.
Помимо нее, в ЛК обнаружили реализацию того же стилера на Python, поддерживающую динамическое изменение собственной конфигурации.
Стандартная конфигурация уже прописана в самом файле скрипта. Для динамического обновления списка функций стилер отправляет GET‑запрос на hxxps://arkanix[.]pw/api/features/{payload_id}.
Возможности стилера в этой версии настраиваемые, функционал идентичен описанному в отчете GDATA. В основной функции сбора данных по завершении каждого этапа обработки вся обнаруженная информация сериализуется в формат JSON и сохраняются по заранее заданному пути
Arkanix собирает различные данные о скомпрометированной системе, используя стандартные консольные команды, за исключением данных о VPN-соединении ( стилер отправляет запрос на hxxps://ipapi[.]co/json/ и сверяет соответствующий IP-адрес со списками).
Стилер способен извлекать различные типы данных из браузеров, поддерживая 22 - от широко распространенного Google Chrome до Tor Browser (перечень в отличие от других параметров строго прописан в коде).
Среди браузерных данных стилер ищет исключительно ключевые слова, связанные с банковскими и платежными сервисами и криптовалютой, а также может извлекать данные из определенных криптовалютных браузерных расширений.
На борту имеется функционал для сбора данных из клиентов популярных игровых платформ Telegram, в отношении VPN и RDP-соединений, а также Discord (кроме кражи может осуществлять автоматическое распространение).
Кроме того, стилер собирает определенные файлы независимо от заданной конфигурации, может делать скриншоты (в нативно версии).
Исследователям ЛК удалось установить дополнительные модули, загружаемые с командного сервера, однако их получить не удалось.
Для загрузки и выполнения Python-версии стилера применялся скрипт, написанный на Python. Эта версия часто распространялась в упакованном виде, что позволяло злоумышленникам распространять ее разными способами.
После выполнения загрузчик сначала устанавливает требуемые пакеты, используя менеджер пакетов pip и модуль subprocess. В среде Microsoft Windows он также устанавливает pywin32.
Загрузчик не валидирует вывод команды установки модулей и сразу отправляет POST‑запрос на hxxps://arkanix[.]pw/api/session/create, чтобы зарегистрировать только что скомпрометированную систему в панели управления, передавая заранее определенный набор параметров.
После этого стилер отправляет GET-запрос на hxxps://arkanix[.]pw/stealer.py и выполняет загруженную полезную нагрузку.
Отдельно стоит отметить, что кампания Arkanix фактически представляла собой разовую операцию: к настоящему времени партнерская MaaS, судя по всему, уже была свернута.
В целом, Arkanix нацелен на широкий круг пользователей, от геймеров и поклонников криптовалют до клиентов онлайн-банкинга, собирая обширный набор сведений.
Несмотря на широкую функциональность, в его коде заметны признаки генерации с помощью LLM.
Технические подробности и IOCs - в отчете.
Исследователи ESET обнаружили ранее неизвестный штамм вредоносного ПО для Android - PromptSpy, использующее генеративный ИИ в процессе выполнения, применяя модель Gemini от Google для адаптации к обеспечению своей устойчивости на разных устройствах.
Первая версия, названная VNCSpy, засветилась на VirusTotal 13 января и была представлена тремя образцами, загруженными из Гонконга. 10 февраля 2026 года из Аргентины были загружены четыре образца более продвинутого вредоносного ПО на основе VNCSpy.
В отличие от ранее изученных вредоносных ПО для Android с моделями машинного обучения PromptSpy представляет собой первый известный случай, когда вредоносная ПО интегрирует генеративный ИИ непосредственно в свою работу.
На некоторых устройствах Android пользователи могут «заблокировать» или «закрепить» приложение в списке последних приложений, удерживая его нажатым и выбрав опцию блокировки.
При такой блокировке Android завершит его работу во время очистки памяти или при нажатии пользователем кнопки «очистить все».
Для легитимных приложений это предотвращает завершение фоновых процессов. Для вредоносных ПО типа PromptSpy это может послужить механизмом обеспечения постоянного присутствия в системе.
Однако способ блокировки или закрепления приложения различается у разных производителей, что затрудняет создание вредоносным ПО правильного алгоритма для выполнения этой операции на каждом устройстве. Вот и вступает в игру ИИ.
PromptSpy отправляет Gemini запрос в чат вместе с XML-дампом текущего экрана, включая видимые элементы пользовательского интерфейса, текстовые метки, типы классов и координаты экрана.
В ответ получает инструкции в формате JSON, описывающие действия, которые необходимо выполнить на устройстве для закрепления приложения.
Вредоносная ПО выполняет действие через службу спецвозможностей Android, получает обновленное состояние экрана и отправляет его обратно в Gemini в цикле до тех пор, пока ИИ не подтвердит, что приложение успешно заблокировано в списке последних приложений.
Несмотря на то, что PromptSpy использует Gemini только в одной из своих функций, подобная реализация тем не менее демонстрирует, как внедрение этих инструментов ИИ может сделать вредоносное ПО более динамичным, предоставляя злоумышленникам способы автоматизировать действия, которые обычно было бы сложнее выполнить с помощью традиционных скриптов.
Хотя использование LLM на основе ИИ для внесения изменений в поведение во время выполнения является новаторским подходом.
Основной функционали PromptSpy - кибершпионаж. Вредоносная ПО включает в себя встроенный модуль VNC, который позволяет злоумышленникам получить полный удаленный доступ к устройствам с правами доступа, предоставленными для лиц с ограниченными возможностями.
Используя его, злоумышленники могут просматривать и контролировать экран Android в режиме реального времени.
Кроме того, вредоносная ПО может: снимать список установленных приложений, перехватывать PIN и пароли блокировки экрана, вести запись экрана, делать скрины, фиксировать действия на экране, мониторить текущее состояние приложения и экрана.
При этом при попытке пользователей удалить приложение или отключить специальные разрешения вредоносная ПО накладывает прозрачные, невидимые прямоугольники на кнопки пользовательского интерфейса, отображающие строки типа «стоп», «завершить», «очистить» и «удалить».
ESET пока не обнаружила PromptSpy или его загрузчик в своих телеметрических данных, поэтому неясно, является ли это вредоносное ПО экспериментальной версией.
Однако, как показывает VirusTotal, несколько образцов ранее распространялись через выделенный домен mgardownload[.]com и использовали веб-страницу на m-mgarg[.]com для имитации банка JPMorgan Chase, поэтому вполне могли быть использованы в реальных атаках.
Исследователи Check Point рассказали, как злоумышленники могут использовать сервисы ИИ для передачи данных между сервером управления и контроля и целевой машиной.
ИИ, используемый такими помощниками, как Grok и Microsoft Copilot, обладающими возможностями просмотра веб-страниц и получения URL-адресов, может быть использовандля передачи команд и извлечения украденных данных из систем жертв.
Дабы не быть голословными исследователи даже создали экспериментальный образец, демонстрирующий принцип работы системы, и представили свои результаты Microsoft и xAI.
Вместо того чтобы вредоносное ПО напрямую подключалось к серверу С2, размещенному на инфраструктуре злоумышленника, Check Point предложила использовать веб-интерфейс ИИ для связи с ним, давая агенту команду получить URL-адрес злоумышленника и получить ответ в выходных данных ИИ.
В разработанном Check Point сценарии вредоносная ПО взаимодействует со службой ИИ, используя компонент WebView2 в Windows 11. Причем даже если этот компонент отсутствует в целевой системе, злоумышленник может внедрить его в вредоносное ПО.
WebView2 используется разработчиками для отображения веб-контента в интерфейсе нативных настольных приложений, что устраняет необходимость в полнофункциональном браузере.
Исследователям удалось создать программу на C++, которая открывает WebView, указывающий либо на Grok, либо на Copilot». Таким образом, злоумышленник может передать помощнику инструкции, включающие команды для выполнения или извлечения информации из скомпрометированной машины.
Веб-страница выдает встроенные инструкции, которые злоумышленник может изменять по своему усмотрению, а ИИ извлекает или обобщает их в ответ на запрос вредоносной ПО. Она анализирует ответы голосового помощника в чате и извлекает из них инструкции.
Таким образом создается двусторонний канал связи через сервис ИИ, которому доверяют инструменты интернет-безопасности, и способный осуществлять обмен данными, не будучи детектированным или заблокированным.
Апробированный на платформах Grok и Microsoft Copilot прототип Check Point не требует учетной записи или ключей API для работы с сервисами ИИ, что упрощает отслеживаемость и решение проблем, связанных с основной инфраструктурой.
Обычно злоупотребление легитимными сервисами для C2 является тем, насколько легко можно перекрыть эти каналы: заблокировать учетную запись, отозвать ключ API, приостановить действие учетной записи клиента.
Однако прямое взаимодействие с ИИ-агентом через веб-страницу меняет ситуацию. Нет необходимости отзывать API-ключ, и если разрешено анонимное использование, то, возможно, даже не будет учетной записи, которую можно было бы заблокировать.
Несмотря на то, что существуют механизмы защиты, блокирующие явно вредоносный обмен данными на указанных платформах ИИ, но эти проверки безопасности можно легко обойти, зашифровав данные в высокоэнтропийные блоки.
В свою очередь, в Microsoft по поводу выявленной уязвимости Copilot пояснили: как и в случае с любым скомпрометированным устройством, злоумышленники могут попытаться установить связь, используя различные доступные сервисы, включая сервисы на основе ИИ.
Посоветовали пользователям подобные вопросы решать самостоятельно, рекомендуя практиковать многоуровневые меры безопасности, которые призваны предотвратить первоначальное заражение вредоносным ПО и уменьшить последствия действий после взлома.
Исследователи F6 вышли на след новой группировки PseudoSticky, обнаружив вредоносную кампанию, в которой атакующие использовали LLM при проведении атаки с вредоносным ПО PureCrypter и DarkTrack RAT.
Причем более глубокое изучение активности показало различные взаимосвязи PseudoSticky со Sticky Werewolf, прежде всего в части TTPs и используемых инструментов, а также их прямые упоминания.
Как известно, Sticky Werewolf (MimiStick, Angry Likho, PhaseShifters) - это одна из наиболее активных проукраинских АРТ-группировок, действующая с апреля 2023 года и нацеленная на предприятия в России и Беларуси.
Одна из особенностей Sticky Werewolf - рассылки писем с вредоносным ПО от имени госведомств, например, Минпромторга, Минобрнауки России, Росгвардии.
Основные цели группировки - предприятия в сфере энергетики, промышленности, ОПК, строительства, ЖКХ, транспорта.
Злоумышленники используют похожие TTPs и виды вредоносного ПО, которые внешне напоминают инструменты Sticky Werewolf.
Причем однажды киберпреступники даже использовали название этой группировки в качестве пароля для вредоносного архива.
При более внимательном анализе становятся заметны отличия в инфраструктуре, реализации вредоносного кода и отдельных элементах тактики, что позволяет рассуждать о сознательной мимикрии.
В фокусе PseudoSticky - ретейлеры, девелоперы, НИИ, приборостроительные предприятия и др.
Основные виды приманок: файлы, названия которых тесно связаны с военной отраслью - от авиационных ракет до беспилотников, а также файлы под видом лицензии для софта и прочей документации.
При этом PseudoSticky регулярно меняет почерк.
В частности, после новогодних праздников изменилась цепочка атаки - заменили основную полезную нагрузку на Remcos RAT.
Помимо этого внедрили Bitbucket в инфраструктуру доставки вредоносного ПО и начали использовать NSIS-упаковщика на этапе финальной сборки/доставки.
Позже в феврале группировка расширила список целей и сетевую инфраструктуру.
Технические подробности и IOCs - в отчете.
Исследователи Positive Technologies раскрыли новую APT-кампанию, нацеленную на телекоммуникационные компании в Кыргызстане и Таджикистане.
Атаки привлекли внимание необычными документами, которые использовали сразу два редких инструмента китайского происхождения и уникальное ПО. При этом используемое в атаках вредоносное ПО мимикрирует под легитимное ПО Microsoft.
В процессе исследования Позитивы обнаружили в атаках бэкдор MarsSnake, который ранее был обнаружен исследователями ESET. Разобрав его функциональность, исследователи нашли другие атаки, которые таргетировались на СНГ, а также на китайские компании.
Помимо этого в арсенале группировки был замечен бэкдор LuciDoor, получивший свое название из-за уникальной особенности настройки шрифта Lucida Console 11×18 для корректного отображения текста в терминале.
Бэкдор отличается исключительной «настойчивостью» при установлении соединения с С2: сначала он пытается подключиться напрямую, затем - через системный прокси с последовательным перебором различных механизмов проксирования, включая активные прокси-узлы пользователя.
Как и в случае с LuciDoor, бэкдор MarsSnake обладает характерной особенностью: его конфигурация может изменяться без пересборки исполняемого файла и имеет характерную метку. Для обновления параметров конфигурации злоумышленникам достаточно изменить встроенный блок, зашифрованный XOR.
В качестве начального этапа цепочки заражения злоумышленники использовали фишинговые документы на тему телекоммуникаций. Для рассылки злоумышленники использовали почтовые сервисы Microsoft: Hotmail и Outlook.
Ко всем обнаруженным письмам прикреплялся документ. При открытии документа показывалась картинка, которая побуждала жертву «включить содержимое». Причем в обнаруженных письмах потенциальная жертва и фишинговый документ не совпадали.
Внутри документа - OLE-объект NewMacros. Макрос сильно обфусцирован, но его основная функциональность проста: собирает полезную нагрузку из большого количества строк, хранящихся в hex-виде, сохраняет в C:\ProgramData с именем Perfrom.exe и запускает.
Последний - это лоадер, который Позитивы назвали LuciLoad из-за его связи со следующим стейджем - бэкдором LuciDoor. Как и в случае с LuciLoad и LuciDoor, MarsSnake - это конечная полезная нагрузка, которую загружает лоадер, названный MarsSnakeLoader.
В компании полагают, что TTPs и инструментарии атакующей APT указывают на ее сходство с восточноазиатской UnsolicitedBooker.
Ранее UnsolicitedBooker, по данным ESET, атаковала Саудовскую Аравию. При этом осенью 2025-го группировка активно переключилась на телекоммуникационные компании СНГ и продолжила свои атаки в 2026 году.
Интересно, что в самом начале группа использовала бэкдор LuciDoor, но впоследствии переключилась на MarsSnake. При этом в 2026 году группа сделала разворот и снова начала использовать LuciDoor.
Помимо этого, как минимум в одном случае Позитивы заметили, что злоумышленники использовали взломанный роутер в качестве С2-сервера, а также то, что их инфраструктура в части атак мимикрировала под российскую.
Технические подробности анализа и IOCs - в отчете.
В Notepad++ реализовали механизм обновления с «двойной блокировкой» для устранения недавно обнаруженных уязвимостей, которые привели к компрометации цепочки поставок.
Новый алгоритм имплементирован в недавнюю версию Notepad++ 8.9.2, а работа над ним началась еще в 8.8.9 с реализации проверки подписанного установщика из GitHub.
Вторая часть системы двойной блокировки заключается в проверке подписанного XML-файла из домена notepad-plus-plus.org.
На практике это означает, что XML-файл, возвращаемый службой обновлений, имеет цифровую подпись (XMLDSig).
По мнению команды разработчиков, сочетание двух механизмов проверки обеспечивает более надежный и «практически неуязвимый» процесс обновления.
В числе дополнительных изменений, направленных на повышение безопасности системы автоматического обновления:
- Удаление файла libcurl.dll для устранения риска загрузки DLL-библиотек через сторонние источники.
- Удаление двух незащищенных опций SSL для cURL: CURLSSLOPT_ALLOW_BEAST и CURLSSLOPT_NO_REVOKE.
- Ограничение выполнения управления плагинами программами, подписанными тем же сертификатом, что и WinGup.
В новом объявлении пользователи также могут исключить автоматическое обновление во время установки через пользовательский интерфейс или развернуть пакет MSI с помощью команд: msiexec /i npp.8.9.2.Installer.x64.msi NOUPDATER=1.
Напомним, что обновления подкатили после того, как ранее в этом месяце Notepad++ и Rapid7 раскрыли ходе шестимесячную кампанию китайской Lotus Blossom, в результате которой инфраструктура обновления текстового редактора была скомпрометирована.
Начиная с июня 2025 года, злоумышленник взломал хостинг-провайдера, на котором работало обновление Notepad++, и выборочно перенаправлял запросы на обновление от определенных пользователей на вредоносные серверы.
В атаках задействовались уязвимости в механизмах проверки обновлений и продолжались до их обнаружения 2 декабря 2025 года.
Исследователи Rapid7 установили, что китайские хакеры использовали в качестве части цепочки атак специально разработанный бэкдор под названием Chrysalis.
Так что помимо обновления, инфраструктура Notepad++ мигрировала на другого хостинг-провайдера.
Так что всем пользователям теперь рекомендуется обновить программу до 8.9.2 и грузить установочные файлы с только официального сайта.
Исследователи BI.ZONE в своей новой аналитике отметили основные тренды атак на веб‑ресурсы по итогам 2025 года.
В целом, за прошлый год Бизоны зафиксировали значительные изменения в поведении злоумышленников. Атакующие стали пропускать этап разведки и сразу пытаться получить доступ к критическим данным.
По данным экспертов, в 2024 году доля запросов на этапе разведки выросла с 7% в первом полугодии до 22% во втором. В первой половине 2025 года доля автоматического сканирования уязвимостей достигла 38%, однако во второй половине года резко снизилась до 4,5%.
Такой спад может быть связан с тем, что WAF‑сервисы блокируют IP‑адреса с высокой активностью запросов, а это препятствует автоматическим сканированиям.
Дополнительно на снижение активности влияет технологическое развитие защиты. Разработчики все чаще стали использовать статический и динамический анализ кода, а также инструменты на базе AI, устраняя уязвимости еще на этапе разработки.
По результатам злоумышленники теряют «легкие» цели: сканеры сталкиваются с защищенным кодом или подозрительную активность предотвращает WAF.
Количество атак на пользователей с целью кражи учетных данных выросло в 2,4 раза: с 6% в первом полугодии до 15% во втором. Также злоумышленники пытаются получить прямой доступ к данным и служебной информации. Доля таких попыток достигла 42%.
Такая картина связана с общим ростом качества разработки и технической защиты серверов. Сложные атаки на ПО становятся менее эффективными за счет регулярных обновлений и более строгого контроля качества кода.
Также этому способствуют инструменты на базе LLM, которые помогают разработчикам избегать типовых ошибок, корректнее выстраивать логику и снижать риск небезопасных практик на этапе разработки.
Так что атакующие все чаще смещают фокус с эксплуатации уязвимостей в коде на методы XSS и брут учетных данных, стремясь получить легитимный доступ администратора или сотрудника для продолжения атаки изнутри системы.
В I полугодии 2025 злоумышленники атаковали государственные информационные системы, намереваясь получить доступ к служебной информации и документам.
Во втором на первое место уже вышли атаки, направленные на доступ к базам данных: их доля составила 53%, что указывает на попытки массового извлечения данных.
Изменения произошли и в ритейле. Разведывательная активность заметно снизилась: ее доля уменьшилась с 90% в начале года до 35% в конце.
В отраслях с физическими активами (строительство и логистика), Бизоны отметили изменение стратегии атак. Вместо фокусировки на сайты и захвата инфраструктуры злоумышленники сосредоточились на получении доступа к закрытым сегментам порталов и файловых хранилищ.
В сфере строительства число атак, направленных на поиск конфигурационных файлов и чувствительных данных, выросло с 50% до 87%. Попытки взлома серверов (RCE) сократились: их стало менее 5%.
Аналогичная тенденция наблюдается в логистической отрасли: если в первом полугодии 89% атак были на RCE, то во втором их доля упала до 30%. Основное внимание теперь сосредоточено на краже файлов и служебной информации: доля этой тактики выросла с 10% до 53%.
Во II полугодии 2025‑го большинство кибератак совершались с российских IP, составляя 95% случаев RCE и в 98% - кражи пользовательских данных.
Для защиты компании используют геоблокировки трафика, что сопровождается использованием геофильтрации как дополнительного уровня защиты и формированием «белых списков» российских IP, однако эффективность геофильтров за последние годы снизилась.
Главные тренды 2025 свидетельствуют о том, что злоумышленники переходят от массовых атак к более прицельным. В связи с чем, бизнесу важно продолжать защищать веб‑приложения и код, а также контролировать доступ к данным, которые могут быть использованы для дальнейших атак.
💚 «Лаборатория Касперского» предупреждает о новой активной схеме распространения 🐘Mamont в Telegram
Эксперты Kaspersky GReAT (Глобального центра исследований и анализа угроз «Лаборатории Касперского») обнаружили новую схему распространения мобильного банковского троянца Mamont, нацеленную на пользователей Android-смартфонов в России. Злоумышленники маскируют зловред под средства для обхода ограничений и замедления работы Telegram. Кампания активна с 14 февраля и могла затронуть уже тысячи россиян.
Mamont — мобильный банковский троянец, который злоумышленники стали активно применять в 2024 году. Он обладает достаточно широкой функциональностью. В частности, запрашивает доступ к СМС и push-уведомлениям на заражённых устройствах, после чего использует их для кражи денег.
Злоумышленники «приходят» в комментарии к публикациям в популярных Telegram-каналах: они предлагают загрузить приложение, якобы позволяющее ускорять работу замедленного сервиса и обходить ограничения. Для этого нужно перейти в другой канал и скачать 📱APK-файл. На самом деле это Mamont, позволяющий атакующим красть банковскую информацию с Android-устройств.
«Мошенники быстро адаптируются к текущей информационной повестке и используют её в своих вредоносных кампаниях, пытаясь сыграть на эмоциях и доверии пользователей. Существует много способов распространения троянца Mamont. Именно поэтому важно быть крайне осторожными в сети, с особой бдительностью относиться к любым файлам и ссылкам, получаемым от незнакомых людей»
В Palo Alto Networks хотят и рыбку съесть, и не лишиться прочего. Чудеса эквилибристики проявлены в ходе недавнего исследования, в котором ресерчеры изучали новую APT-группу под названием TGR-STA-1030, которой приписали «теневые кампании» кибершпионажа.
Как сообщается в отчете, за последний год эта группа скомпрометировала правительственные организации и объекты критической инфраструктуры в 37 странах, а в период с ноября по декабрь 2025 группа проводила разведку правительственной инфраструктуры в 155 странах.
В данной работе Palo Alto описывает техническую изощренность участников, включая методы фишинга и эксплуатации уязвимостей, используемые инструменты и инфраструктуру группы, а также приводит обширный состав IOCs, включая активную инфраструктуру.
Реализован также углубленный анализ виктимологии по регионам с целью демонстрации предполагаемых мотивов APT. Результаты показывают, что хакеры отдают приоритет атакам на страны, которые установили или изучают определенные экономические партнерства.
Кроме того, Palo Alto предварительно поделилась результатами с коллегами по отрасли, дабы обеспечить надежную межотраслевую защиту от этого злоумышленника.
Но коллег смутило нечто другое: руководство Palo Alto всячески избегает приписывания APT-атаки китайскому актору, даже несмотря на атрибуцию собственных и сторонних отраслевых экспертов.
Такое поведение не осталось незамеченным и представителями СМИ. В частности, источники Reuters, заявляют, что компания пошла на такие казуистические уловки, опасаясь ответных мер со стороны китайского правительства.
Поэтому в отчете ограничилась приписываем «теневой» кампании неназванной APT, действующей из Азии.
Дело в том, что в начале этого года Пекин потребовал от китайских компаний прекратить использование решений по инфобезу десятка западных вендоров.
Palo Alto Networks оказалось в их числе, попав в т.н. черный список, переданный руководству китайских компаний, наряду с CrowdStrike, SentinelOne, Mandiant, Wiz и др.
В ответ на просьбу прокомментировать якобы смягченную формулировку в недавнем отчете, Palo Alto сослались на то, что «указание источника не имеет значения».
Впрочем, как и про активность западных APT, которая также «не имеет значения», чтобы вообще ее указывать.
Солары представили результаты исследования фишинговой кампании Cloud Atlas, нацеленной на российские организации. Причем в одном из кейсов им удалось выявить 5 успешных атак на одну и ту же систему.
Как отмечают исследователи, группировка наряду с Fairy Trickster и Erudite Mogwai является одной из тех, кто делает ставку на фишинг. Ее отличительной чертой стало использование в атаках VBShower.
Группа была выделена как отдельный кластер угроз в 2014 году исследователями Лаборатории Касперского, которые обнаружили схожие паттерны атак в ходе ранее известной операции Red October.
Основными целями Cloud Atlas являются госучреждения в различных странах. Однако, по данным аналитики, наибольшее количество зафиксированных атак этой группировки связано с государственными и частными организациями в России.
В своих атаках APT использует такие инструменты, как VBShower, VBCloud, PowerShower, ngrok, openport и др.
В новом отчете Solar рассматривают один из кейсов по следам своего расследования, инициированного в марте 2025 года после обнаружения одним из клиентов вредоносного файла: C:\Users\Public\Libraries\LibraryHost.vbs.
Детектированная сигнатура явно указывала на принадлежность данного файла к Cloud Atlas. В качестве первоначального доступа группировка традиционно использует фишинговые кампании с вредоносными вложениями в формате документов Microsoft Office.
В ходе исследования выяснилось, что система, на которой был обнаружен вредоносный файл, стала жертвой фишинговых кампаний со стороны Cloud Atlas целых пять раз и каждая из атак была успешной.
Четыре из пяти вредоносных вложений были удалены или не сохранились в системе, однако следы их загрузки, а также последующая активность частично отразились в различных артефактах Windows.
Правда, несмотря на продолжительное нахождение атакующих в инфраструктуре, при расследовании инцидента следов их горизонтального перемещения в системе Солары не обнаружили.
По результатам расследования стало понятно, что цепочка заражения не претерпевала существенных изменений и начинается с вредоносного документа Microsoft Word, развиваясь с помощью характерных для Cloud Atlas TTPs. Также неизменным остается использование ADS для скрытия вредоносной нагрузки.
Исследователи отметили специфическое использование техник и инструментов, которое характеризует уникальный почерк группировки, не претерпевший за 2025 существенных изменений. А новые семплы указывают на то, что эти атакующие продолжают свою активную деятельность.
Схема их работы и технические подробности «пятикратной» атаки Cloud Atlas - в отчете.
Исследователи из Лаборатории Касперского продолжают отслеживать Librarian Likho (Librarian Ghouls), активность которой нацеленную на российские организации выявили еще в ноябре 2025 года.
Новая продолжающаяся кампания на основании собранных данных, артефактов, инструментария и сетевой инфраструктуры, была также атрибутирована Librarian Likho.
В рамках новой волны атакам подвергся широкий круг российских организаций из различных отраслей экономики, в том числе из госсектора, строительства и промышленности.
Как и ранее, атаки начинаются с фишинга, однако в этот раз злоумышленники отправили свыше тысячи писем, вредоносные вложения в которых практически не отличались по функциональности и контексту, что указывает на автоматизацию атаки.
Инструментарий также по большей части остался прежним, но в новой волне атак злоумышленники переписали команды в скриптах: ранее URL командного сервера жестко прописывали в коде, а теперь он динамически меняется при помощи набора переменных.
Кроме того, Librarian Likho убрали функции кражи данных и обновили механизмы обхода средств защиты информации.
В новой кампании жертва получает на почту фишинговое письмо с вредоносным исполняемым файлом в качестве вложения, который маскируется под предложение о сотрудничестве или заполненный бланк договора. При этом никак не маскируют их расширения.
Вложение представляет собой инсталлятор, созданный при помощи Smart Install Maker. После запуска он выгружает в директорию Users\[REDACTED]\AppData\Local\Temp\$inst два архива формата .cab, замаскированные под временные файлы: 2.tmp и temp_0.tmp.
После этого архивы по очереди распаковываются в одну и ту же директорию, а для отвлечения внимания жертвы, запускается файл-приманка с типовой структурой офисного документа.
Затем вредоносное вложение запускает find.cmd. Скрипт аналогичен предыдущей кампании, однако в нем появился парсинг адресов C2 из файла url.txt: в ходе работы он создает виртуальное окружение, а также переменные под конкретные адреса, с которых скачиваются полезные нагрузки.
Также в скрипте изменился путь, по которому он сохраняет скачанные с C2 исполняемые файлы. В новой версии - это %APPDATA%\Windows. При этом на C2 инструменты, как и ранее, имеют расширение .jpg. После их инициализации новая версия find.cmd удаляет все файлы.
Скрипт загружает с C2 bk.rar и pas.rar, а также кастомную версию WinRAR с названием файла driver.exe. Затем с помощью архиватора распаковывает скачанные файлы, используя вшитый пароль, и сохраняет их содержимое в директорию Users\[REDACTED]\AppData\Roaming\Windows.
Первым делом find.cmd запускает Trays.exe с опцией -tray для сокрытия окон приложений, которые будут выполнены далее. Далее скрипт принимает меры по обходу средств защиты: останавливает сервисы, связанные с Microsoft Defender, и отключает профили файервола.
После этого он устанавливает на устройство инструмент удаленного доступа AnyDesk, который затем запускает как системный сервис.
После того как скрипт find.cmd отработал, вложение запускает файл any.bat, также в формате скрипта, для создания точки закрепления через AnyDesk. Он также устанавливает кастомный пароль для доступа к нему. Последним вложение запускает скрипт bat.bat
Основная цель этого скрипта - предоставить оператору данные для подключения, а также подготовить узел к дальнейшей постэксплуатации.
В целом, Librarian Likho продолжает атаковать российские компании, оставив неизменными цели кампании и ключевые характеристики своих атак, но частично переписав содержимое вредоносных скриптов. Однако в отличие от прошлых атак, новая активность имеет массовый характер.
Технические подробности и IOCs - в отчете.
Исследователи Oversecured выкатили «тревожную» аналитику по мобильным приложениям в тематике психического здоровья с 14,7 млн. закусок на Google Play, которые оказались критически дырявыми и могут привести к раскрытию конфиденциальной медицинской информации пользователей.
Только в одном из них было обнаружено более 85 уязвимостей средней и высокой степени серьезности, которые могут быть использованы для компрометации данных по части проводимой терапии.
Некоторые из этих приложений представляют собой ИИ-помощников, разработанных для помощи людям, страдающим от клинической депрессии, различных форм тревожности, панических атак, стресса и биполярного расстройства.
В среднем по меньшей мере шесть из десяти проанализированных приложений заверяют, что переписка или чаты пользователей остаются конфиденциальными и надежно шифруются на серверах поставщика.
Причем в киберподьполье данные о психическом здоровье имеют вполне себе товарный вид и реализуются по цене 1000 долларов и более за запись, что даже намного дороже сведений по кредиткам.
В ходе проверки десяти мобильных приложений было выявлено в общей сложности 1575 уязвимостей: 54 - с высокой степенью серьезности, 538 - со средней и 983 - с низкой.
Хотя на отсутствие критических проблем, многие из них могут быть использованы для компрометации учетных данных для входа в систему, подделки уведомлений, внедрения HTML-кода или определения местоположения пользователя.
По результатам проверки APK-файлов исследователи отмечают, что некоторые из проверенных приложений «анализируют предоставленные пользователем URI без надлежащей проверки».
Одно из приложений, скачанное более миллиона раз, использует метод Intent.parseUri() для строки, управляемой извне, и запускает полученный объект сообщения без проверки целевого компонента.
В свою очередь, это позволяет злоумышленнику принудительно обеспечить раскрытие приложением любой внутренней активности, даже если она не предназначена для внешнего доступа.
Как отмечают в Oversecured, в виду того, что эти внутренние процессы часто обрабатывают токены аутентификации и данные сеансов, использование уязвимости может дать злоумышленнику доступ к записям о терапии пользователя.
Другая обнаруженная проблема - хранение данных локально таким образом, чтобы любое приложение на устройстве имело к ним доступ для чтения.
В зависимости от сохранённой информации, это может привести к раскрытию деталей терапии, включая записи о сеансах терапии, заметки о сеансах когнитивно-поведенческой терапии (КПТ) и различные оценки.
В Oversecured также обнаружили в APK-файлах данные конфигурации в открытом виде, включая конечные точки API бэкэнда и жестко закодированный URL-адрес базы данных Firebase.
Кроме того, некоторые уязвимые приложения используют криптографически небезопасный класс java.util.Random для генерации токенов сессии или ключей шифрования.
По словам исследователей, большинство из проанализированных приложений не имеют никакой функции обнаружения root-прав. На устройстве с root-правами (джейлбрейком) любое приложение с root-доступом имеет доступ ко всем локально хранящимся данным о состоянии здоровья.
По данным Oversecured, шесть из десяти проанализированных приложений «не выявили ни одного серьезного нарушения, но при этом имели проблемы средней степени серьезности, которые ослабляют их общую безопасность».
Они собирают и хранят одни из самых конфиденциальных персональных данных на мобильных устройствах: стенограммы сеансов терапии, журналы настроения, графики приема лекарств, признаки самоповреждения, а в некоторых случаях и информацию, защищенную в соответствии с HIPAA.
Перечень уязвимых приложений не разглашается, поскольку процесс раскрытия не окончен и лишь четыре из них в недавнем времени получили обновление. Другие не обновлялись год и более, при том, что сканирование Oversecured проводилось с 22 по 23 января.
Сингапурская Group-IB сообщает о новой кампании MuddyWater (Earth Vetala, Mango Sandstorm и MUDDYCOAST) под названием Operation Olalampo, нацеленной на ряд организаций и частных лиц, в основном расположенных в регионе MENA (Ближний Восток и Северная Африка).
Новая активность была впервые замечена 26 января 2026 года и включала новые штаммы вредоносных ПО, имеющих общие образцы, ранее атрибутированные к MuddyWater.
В частности, засветились загрузчики GhostFetch и HTTP_VIP, а также бэкдор на Rust под названием CHAR и продвинутый имплантат GhostBackDoor, распространяемый через GhostFetch. Если подробнее:
- GhostFetch - это загрузчик первого этапа, который профилирует систему, проверяет движения мыши и разрешение экрана, проверяет наличие отладчиков, артефактов виртуальных машин и антивирусного ПО, а также загружает и выполняет вторичные полезные нагрузки непосредственно в памяти.
- GhostBackDoor - это бэкдор второго этапа, реализуемый GhostFetch, который поддерживает интерактивную оболочку, чтение/запись файлов и повторный запуск GhostFetch.
- HTTP_VIP, встроенный загрузчик, осуществляет системную разведку, подключается к внешнему серверу (codefusiontech[.]org) для аутентификации и развертывания AnyDesk с сервера С2.
Новый вариант вредоносного ПО также добавляет возможность получения информации о жертве и инструкций для запуска интерактивной оболочки, загрузки/выгрузки файлов, захвата содержимого буфера обмена и обновления интервала ожидания/передачи сигналов.
- CHAR - это бэкдор на Rust, управляемый ботом в Telegram (чье имя - Olalampo, а имя пользователя - stager_51_bot), который позволяет сменить каталог и выполнить команду cmd.exe или PowerShell.
Наблюдаемые атаки соответствуют ранее наблюдавшимся цепочкам, включая фишинговые письма с документом Microsoft Office и вредоносным макрокодом, который расшифровывает встроенную полезную нагрузку и выполняет в системе, предоставляя APT полный удаленный контроль.
Одна из таких цепочек с вредоносным Microsoft Excel побуждает пользователя включить макросы для активации заражения и, в конечном итоге, доставки CHAR. Другой вариант, как выяснилось, приводит к развертыванию GhostFetch, который затем загружает GhostBackDoor.
Третий вариант атаки предполагает тематику авиабилетов и отчетов (в отличие от приманок, имитирующих энергетическую компанию на Ближнем Востоке) и распространение загрузчика HTTP_VIP, который впоследствии развертывает AnyDesk.
Возвращаясь к CHAR, выполнение PowerShell подразумевает запуск обратного прокси-сервера SOCKS5 или другого бэкдора под названием Kalim, эксфильтрацию данных из браузеров, а также приводит к запуску неизвестных исполняемых файлов sh.exe и gshdoc_release_X64_GUI.exe.
Анализ исходного кода CHAR позволил выявить признаки разработки с использованием ИИ, в виду наличия эмодзи в отладочных строках, что вполне согласуется с прошлогодними прогнозами Google по поводу внедрения инструментария ИИ в разработку вредоносного ПО.
Еще один примечательный аспект заключается в том, что CHAR имеет схожую структуру и среду разработки с вредоносным ПО на основе Rust BlackBeard (Archer RAT и RUSTRIC), которое, по данным CloudSEK и Seqrite Labs, использовалось злоумышленниками для атак на различные организации на Ближнем Востоке.
Кроме того, было замечено - MuddyWater использует недавно обнаруженные уязвимости на общедоступных серверах для получения первоначального доступа к целевым сетям.
В целом, исследователи заключают, что APT MuddyWater остается активной угрозой в регионе META (Ближний Восток, Турция и Африка), тогда как новая операция в первую очередь нацелена на организации в регионе MENA.
Задействование группой технологий ИИ в сочетании с непрерывной разработкой собственного вредоносного ПО и инструментов, а также диверсифицированной инфраструктурой C2 подчеркивает их намерения расширять свою деятельность.
Palo Alto Networks на этой неделе зафиксировала резкое увеличение числа случаев эксплуатации двух недавно исправленных 0-day Ivanti Endpoint Manager Mobile (EPMM).
Критические CVE-2026-1281 и CVE-2026-1340 могут быть использованы удаленными, неаутентифицированными злоумышленниками для RCE на целевых серверах и получения полного контроля над целевой инфраструктурой управления мобильными устройствами (MDM).
Ivanti устранила уязвимости в системе безопасности в конце января, уведомив пользователей о том, что ей было известно об атаках нулевого дня, направленных на «очень ограниченное число клиентов».
Вскоре после раскрытия уязвимостей началось широкомасштабное использование злоумышленников, собственно с чем и столкнулись в Palo Alto Networks, наблюдая широкий спектр атак.
Злоумышленники используют уязвимости для загрузки вредоносного ПО на скомпрометированные платформы Ivanti, включая веб-оболочки, майнеры криптовалюты и постоянный бэкдор.
В Palo Alto также наблюдали, как злоумышленники задействуют утилиту мониторинга с открытым исходным кодом Nezha (недавно выявленную в вредоносной деятельности, связанной с КНР), реализуют обратные шелл-оболочки и проводят разведку.
Вместе с тем, в открытых источниках нет упоминаний об использовании CVE-2026-1281 и CVE-2026-1340, которые, если верить немецкой BSI, эксплуатировались еще с июля 2025 года.
Наряду с Ivanti популярность в киберподполье, как мы и предупреждали, получила и BeyondTrust с критической CVE-2026-1731 (CVSS: 9,9) в Remote Support (RS) и Privileged Remote Access (PRA), которая также используется для проведения широкого спектра вредоносных действий:
В настоящее время масштабы атак, использующих эту уязвимость, варьируются от разведки до развертывания бэкдоров, включая:
- Задействование пользовательского скрипта на Python для получения доступа к административной учетной записи.
- Внедрение нескольких веб-оболочек в разных каталогах, включая PHP-бэкдор, способный выполнять необработанный PHP-код или произвольный PHP-код без записи новых файлов на диск, а также bash-дроппер, создающий постоянную веб-оболочку.
- Развертывание вредоносного ПО, такого как VShell и Spark RAT.
- Использование методов внеполосного тестирования безопасности приложений (OAST) для проверки успешного выполнения кода и идентификации систем, скомпрометированных с помощью анализа отпечатков пальцев.
- Выполнение команд для подготовки, сжатия и извлечения конфиденциальных данных, включая файлы конфигурации, внутренние системные базы данных и полный дамп PostgreSQL, на внешний сервер.
Выявленная кампания была нацелена на секторы финансовых услуг, юридических услуг, высоких технологий, образования, торговли, а также здравоохранения в США, Франции, Германии, Австралии и Канаде.
Исследователи описывают уязвимость как сбой в процессе проверки подлинности, позволяющий использовать уязвимый скрипт thin-scc-wrapper, доступный через интерфейс WebSocket, для внедрения и выполнения произвольных команд оболочки в контексте пользователя сайта.
Исследователи акцентируют внимание на взаимосвязь между CVE-2026-1731 и CVE-2024-12356, указывающую на локализованную, повторяющуюся проблему с проверкой входных данных в различных путях выполнения.
И, учитывая наблюдавшиеся случаи использования CVE-2024-12356 китайскими APT, в том числе Silk Typhoon, в Palo Alto полагают, что CVE-2026-1731 также может стать целью для продвинутых злоумышленников.
Но будем, конечно, посмотреть.
Microsoft предупредила об устраненной уязвимости в системе безопасности Windows Admin Center, которая позволяет злоумышленнику повысить свои привилегии.
Windows Admin Center - это локально развертываемый набор инструментов управления на основе браузера, позволяющий пользователям управлять своими клиентами, серверами и кластерами Windows без необходимости подключения к облаку.
Уязвимость высокой степени серьезности зарегистрирована и отслеживается как CVE-2026-26119, имея оценку CVSS 8,8 из 10 возможных.
Некорректная аутентификация в Центре администрирования Windows позволяет авторизованному злоумышленнику повысить свои привилегии в сети. Злоумышленник при этом получит права пользователя, запускающего затронутое приложение.
Microsoft приписала обнаружение уязвимости исследователю Semperis Андреа Пьерини.
Проблема была устранена микромягкими в Windows Admin Center версии 2511, выпущенном в декабре 2025 года.
Несмотря на то, что Microsoft не упоминает об использовании уязвимости в реальных условиях, ей все же был присвоен рейтинг «высокой вероятности эксплуатации».
Технические подробности, касающиеся CVE-2026-26119, в настоящее время держатся в секрете, но вскоре все может измениться.
Сам же Пьерини отметил в LinkedIn, что при определенных условиях уязвимость может «позволить полностью скомпрометировать домен, начиная со стандартного пользователя».
Исследователи OX Security выявили уязвимости в четырех популярных расширениях Microsoft Visual Studio Code (VS Code), которые в случае успешной эксплуатации позволяют злоумышленникам красть локальные файлы и удаленно выполнять код.
В число этих расширений, которые были установлены в общей сложности более 125 миллионов раз, входят Live Server, Code Runner, Markdown Preview Enhanced и Microsoft Live Preview.
В целом исследование показыало, что хакеру достаточно всего одного вредоносного расширения или одной уязвимости в одном расширении, чтобы осуществить горизонтальное перемещение и скомпрометировать целые организации.
Среди найденных проблем:
- CVE-2025-65717 (CVSS: 9.1) в Live Server: позволяет извлекать локальные файлы, обманом заставляя разработчика посетить вредоносный веб-сайт, когда расширение запущено.
В результате встроенный в страницу JavaScript сканирует и извлекает файлы с локального HTTP-сервера разработки, работающего по адресу localhost:5500, и передает их на домен, находящийся под их контролем.
Проблема до сих пор не решена.
- CVE-2025-65716 (CVSS: 8.8) в Markdown Preview Enhanced: позволяет выполнять произвольный код JavaScript путем загрузки специально созданного файла Markdown (.md), открывая возможности для локального перебора портов и утечки данных на контролируемый домен.
Ошибка также до сих пор не исправлена.
- CVE-2025-65715 (CVSS: 7.8) в Code Runner: позволяет злоумышленникам выполнять произвольный код, убеждая пользователя изменить файл "settings.json" с помощью фишинга или социнженерии.
Уязвимость до сих пор не устранена.
- Уязвимость в Microsoft Live Preview позвоялет злоумышленникам получить доступ к конфиденциальным файлам на компьютере разработчика, обманом заставляя жертву посетить вредоносный сайт во время работы расширения.
Ошибка открывает путь для создания специально сформированных JavaScript-запросов, нацеленных на локальный хост, для перечисления и извлечения конфиденциальных файлов.
Уязвимость исправлена Microsoft в версии 0.4.16, выпущенной в сентябре 2025 года.
Как отметили в OX Security, для обеспечения безопасности среды разработки крайне важно избегать применения ненадежных конфигураций, отключать или удалять несущественные расширения, усиливать защиту локальной сети с помощью брандмауэра, обновлять расширения и отключать службы, работающие на локальном хосте, когда они не используются.
Также следует помнить, что установка уязвимых расширений на компьютер представляет собой непосредственную угрозу безопасности организации: «достаточно одного щелчка или загрузки репозитория, чтобы скомпрометировать все».
🔓 StatiCrypt.
• Нашел очень полезный сервис, благодаря которому можно создать зашифрованные HTML странички, расшифровка которых происходит с помощью ввода пароля в браузере на стороне клиента.
• Обычно парольная защита производится через веб-сервер, который проверяет пароль и выдаёт контент. Но что делать, если нужно выложить зашифрованную веб-страницу и файлы на публичном хостинге, где у нас нет контроля над сервером? Эту проблему решает тулза StatiCrypt.
• StatiCrypt генерирует статическую страницу, которую можно безопасно заливать на любой хостинг. Страница будет расшифрована в браузере пользователя, когда тот введёт известный ему пароль. В принципе, эту систему можно использовать для шифрования личных заметок, если вы хотите выложить их на общедоступный сервер, чтобы всегда иметь к ним доступ, но при этом надёжно защитить от посторонних глаз.
• Расшифровка происходит на обычном JavaScript, то есть со стороны клиента не требуется скачивание и установка дополнительных инструментов, кроме стандартного браузера. Ни хостинг-провайдер, ни интернет-провайдер не получают доступ к этой информации в процессе расшифровки её расшировки в браузере.
• Консольная утилита StatiCrypt доступна для скачивания на Github и в виде пакета NPM. А еще существует готовый шаблон для создания и хостинга одностраничного зашифрованного сайта на GitHub Pages.
• Страница шифруется с помощью AES-256 в режиме CBC, который в контексте StatiCrypt лишён характерных для него уязвимостей. Пароль хешируется с помощью функции PBKDF2: 599 тыс. операций хеширования SHA-256 и 1000 операций SHA-1 (для легаси). По сути, генерируется новая веб-страница (зашифрованная), которая вмещает содержимое старой.
• Утилита также умеет генерировать ссылку, которая уже содержит хешированный пароль, для доступа к странице без ввода пароля непосредственно в веб-форме браузера. Такую ссылку можно передавать доверенным лицам или использовать самому, а контент при этом хранится на сервере в зашифрованном виде, недоступном для просмотра ни хостером, ни третьим лицам.
➡ https://github.com/robinmoisson/staticrypt
S.E. ▪️ infosec.work ▪️ VT
Попутно упражняясь с конкурентами, IoT-ботнет Kimwolf случайно атаковал The Invisible Internet Project (I2P), перегрузив анонимную сеть и фактически лишив пользователей возможности взаимодействовать с легитимными узлами.
Сбои начали фиксироваться две недели назад, 3 февраля, и препятствуют подключению легитимных пользователей к ресурсам I2P, децентрализованной сети зашифрованной связи, предназначенной для анонимизации и защиты онлайн-коммуникаций.
Как оказалось, все дело в том, что Kimwolf начал использовать I2P для размещения некоторых своих серверов С2 и обхода попыток блокировки.
Что по итогу переполнило анонимную сеть соединениями от миллионов взломанных маршрутизаторов и телевизионных приставок.
В тот же день, когда пользователи I2P начали замечать сбои, операторы Kimwolf опубликовали у себя в Discord сообщение с извинениями, отметив, что они случайно нарушили работу I2P, попытавшись подключить 700 000 зараженных ботов в качестве узлов к сети.
При том, что вся сеть I2P в настоящее время ежедневно насчитывает от 15 000 до 20 000 устройств, распределенных по всему миру, причем каждый участник выступает одновременно и в роли маршрутизатора (для ретрансляции трафика), и в роли клиента.
В свою очередь, основатель Бенджамин Брундейдж - основатель Synthient, стартапа, отслеживающего прокси-сервисы, первым задокументировал уникальные методы распространения Kimwolf.
Он отметил, что операторы ботнета экспериментируют с I2P и аналогичной сетью анонимности - Tor, в качестве резервной сети С2 (при этом в последнее время сообщений о масштабных сбоях в Tor не поступало).
По его наблюдениям, операторы «просто тестируют что-то, проводят эксперименты в реальных условиях, но численность ботнета сейчас значительно снижается, и, похоже, они не понимают, что делают».
Но мы бы не спешили с выводами, будем посмотреть.
Исследователи Mandiant и Google GTIG сообщают об активности китайской APT, нацеленной на 0-day в в системе безопасности Dell с середины 2024 года.
Как поясняют в Dell, UNC6201 задействовала уязвимость с жестко закодированными учетными данными максимальной степени серьезности (CVE-2026-22769) в Dell RecoverPoint for Virtual Machines в версиях до 6.0.3.1 HF1, решении, используемом для резервного копирования и восстановления виртуальных машин VMware.
Уязвимость позволяет неаутентифицированному удаленному злоумышленнику, владеющему жестко закодированными учетными данными, получить доступ к базовой ОС и сохранению прав root.
Проникнув в сеть жертвы, UNC6201 развернул несколько вредоносных ПО, включая недавно обнаруженный бэкдор под названием Grimbolt.
Написанный на C# и созданный с использованием относительно новой техники компиляции, вредоносный код разработан с прицелом на усложнение анализа, нежели его предшественник, бэкдор под названием Brickstorm.
UNC6201 заменила Brickstorm на Grimbolt в сентябре 2025 года, чем был обусловлен переход неясно: то ли в плановом порядке, то ли после детектирования со стороны Mandiant или их коллег.
Злоумышленники также применили новые методы для более глубокого проникновения в виртуализированную инфраструктуру жертв, включая создание скрытых сетевых интерфейсов (т.н. «призрачных сетевых адаптеров»).
Как отмечают в Mandiant, эти временные виртуальные сетевые порты использовались для переключения с скомпрометированных виртуальных машин во внутренние или SaaS-среды, чего компания не наблюдала ранее в ходе своих расследований.
Как и в предыдущей кампании BRICKSTORM, UNC6201 продолжает ориентироваться на устройства, которые не имеют традиционных средств EDR, дабы оставаться незамеченными в течение длительного времени.
Кроме того, исследователи обнаружили совпадения между UNC6201 и другим китайским кластером угроз, UNC5221, который отметился в атаках на 0-day Ivanti в правительственных учреждениях с помощью специально разработанных вредоносных ПО Spawnant и Zipline.
Причем в GTIG рассматривают UNC5221 и Silk Typhoon как два идентичных кластера угроз.
По данным исследователей, в сентябре хакеры UNC5221 использовали Brickstorm для получения долговременного доступа к сетям нескольких американских организаций в юридическом и технологическом секторах.
В свою очередь, тогда CrowdStrike связала атаки с использованием вредоносного ПО Brickstorm на серверы VMware vCenter юридических, технологических и производственных компаний в США с китайской APT, которую она отслеживает как Warp Panda.
В общем, для предотвращения продолжающихся атак, нацеленных на CVE-2026-22769, клиентам Dell рекомендуется следовать рекомендациям, изложенным в уведомлении по безопасности.
Исследователи Лаборатории Касперского сообщают о внедрении в прошивки планшетов на базе Android бэкдора под названием Keenadu в результате атаки на цепочку поставок. Причем некоторые заражения фиксировались еще в августе 2023 года.
Отыскать новый бэкдор удалось после обнаружения ЛК в апреле 2025 года бэкдора Triada, заразившего прошивки поддельных Android-устройств, которые распространялись через популярные маркетплейсы. Находка побудила исследователей провести исследование и поискать другие угрозы.
Новый обнаруженный исследователями бэкдор также внедряется в Zygote, центральный процесс операционной системы Android, откуда его невозможно удалить без полной прошивки и переустановки устройства.
Он попадал туда на этапе сборки - вредоносная статическая библиотека линковалась с libandroid_runtime.so. Уже на устройстве она, как и Triada, заражала процесс Zygote. В некоторых случаях вредоносная прошивка загружалась с OTA-обновлением.
Копия бэкдора попадает в адресное пространство каждого приложения при его запуске на устройстве. Зловред представляет собой многоуровневый загрузчик, который предоставляет операторам неограниченные возможности для контроля устройства жертвы.
При этом Keenadu остается скрытым в течение двух с половиной месяцев, прежде чем начать инициировать какое-либо вредоносное поведение. По истечении этого периода Keenadu пингует свою инфраструктуру С2, откуда загружает и запускает дополнительные модули.
На данный момент обнаружено, что вредоносное ПО развертывает компоненты. В зависимости от зараженного приложения, они подменяют поисковые запросы в браузере, монетизируют установки новых программ, а также скрытно взаимодействуют с рекламными элементами.
Одна из полезных нагрузок, полученная в ходе исследования, также обнаружилась в множестве приложений, которые распространялись как через неофициальные источники, так и через Google Play и Xiaomi GetApps.
В прошивках некоторых устройств Keenadu был встроен в важные системные приложения: сервис для распознавания лиц, приложение для рабочего стола и т. д.
По данным ЛК, вредоносная ПО работает имеет сильное сходство с Triada, который в течение последних 3-4 лет был предустановлен на дешевых планшетах и смартфонах Android.
Исследователи обнаружили множество сходств в коде и инфраструктуре между Keenadu и Triada, а также Vo1d и BADBOX - двумя ботнетами, которые также поставлялись через предустановку на некоторых недорогих смарт-телевизорах.
Тем не менее, в ЛК не связывают все эти операции между собой, вероятно, но серьезная взаимосвязь все же существует, и, скорее всего, обусловлена активностью группы злоумышленников, специализирующихся на взломе инструментов разработчиков и внедрении вредоносного кода, который впоследствии доставляется в прошивку и приложения Android-устройств.
Источником, по всей видимости, является разработчик или общая библиотека, поскольку некоторые из зараженных обновлений прошивки также были подписаны и доставлены по беспроводной сети непосредственно с серверов производителя.
По данным Лаборатории Касперского, проблема потенциально затрагивает сразу нескольких производителей планшетов, в числе которых упоминается Alldocube.
Телеметрия ЛК показывает, что бэкдор установлен более чем на 13 000 устройствах, но число заражений, вероятно, на порядок выше. Ведь, только Vo1D и BADBOX заразили более 1 млн. устройств каждый.
Наибольшее число пользователей, атакованных Keenadu, защитные решения ЛК зафиксировали в России, Японии, Германии, Бразилии и Нидерландах.
Как полагают исследователи, несмотря на то, что Keenadu пока не проявляла признаков кражи учетных данных с зараженных устройств, это, скорее всего, все же произойдет в ближайшем будущем. Как в случае с Triada, она приобрела эту возможность по мере своего развития.
Подробный технический анализ и IOCs - в отчете.
Группа исследователей из ETH Zurich выкатила результаты нового исследования, согласно которому многие облачные менеджеры паролей, включая Bitwarden, LastPass, Dashlane и 1Password, уязвимы для компрометации хранилища при использовании вредоносного сервера.
Проанализировав популярные менеджеры паролей, исследователи нашли способы, с помощью которых злоумышленники могут скомпрометировать хранилища паролей пользователей и получить доступ к конфиденциальным данным.
При этом устойчивость к внешним или клиентским атакам не тестировалась, вместо этого в фокусе оказалось - шифрование с нулевым разглашением - модель безопасности, при которой поставщик услуг не имеет доступа к зашифрованным данным пользователя, и данные должны быть защищены даже в случае компрометации серверов поставщика.
В связи с этим в ETH Zurich провели анализ популярных облачных менеджеров паролей, исходя из предположения, что серверы, хранящие пользовательские хранилища, являются «полностью вредоносными».
На каждом из указанных менеджеров обкатывались различные типы атак, направленных на снижение уровня безопасности, подрыва ожидаемой защиты и полной компрометации учетных записей пользователей.
Эксперты сосредоточились на восстановление учетных записей и входе через SSO, а также на функциях, разработанных для обеспечения обратной совместимости.
Они проводили атаки, используя некорректную целостность хранилища и полагаясь на функцинал совместного использования, который позволяют семьям или предприятиям использовать одни и те же учетные данные.
Почти в каждом из исследованных менеджеров исследователям удалось добиться компрометации хранилища, включая полную компрометацию (Bitwarden и LastPass), а также компрометацию общего хранилища (Dashlane).
Причем они на практике продемонстрировали, что во многих случаях злоумышленник способен не только просмотреть учетные данные пользователей, но и модифицировать их.
Некоторые их поставщиков отметили, что методы атаки, реализованные исследователями, требуют полного взлома серверов менеджера паролей и продвинутых навыков для осуществления криптографических атак.
Dashlane считает, что для получения ряда представленных результатов необходимы «либо особые обстоятельства, либо чрезвычайно значительный промежуток времени».
Кроме того, в случае обмена данными и шифрования симметричных ключей с помощью открытых ключей получателя, как и в большинстве систем сквозного шифрования (E2EE) с участием сервера, создает структурную зависимость от подлинности каталога открытых ключей.
При подмене открытого ключа злоумышленник получить доступ к содержимому общих файлов, зашифрованных с помощью вредоносного открытого ключа, а это, как полагают в Dashlane, уже широко распространенная в отрасли проблема.
Тем не менее, после уведомления поставщики выпустили исправления и меры по устранению многих уязвимостей, но отметив, что некоторые проблемы решить достаточно затруднительно.
В свою очередь, Bitwarden отметила, что из 10 выявленных проблем, выявленных (каждая из которых оценена как имеющая среднее или низкое влияние), семь были или находятся в процессе устранения.
Однако три из этих недостатков «были признаны преднамеренными проектными решениями, необходимыми для обеспечения функциональности продукта».
LastPass также «высоко оценило» проведенное исследование, но также выразила несогласие с некоторыми оценками исследователей, однако внедрила ряд краткосрочных мер по усилению защиты, а также разработала планы по исправлению соответствующих компонентов.
В 1Password считают, что выявленные исследователями векторы атак уже были задокументированы в общедоступном документе компании «Security Design White Paper». Компанией используется технология SRP для аутентификации пользователей без передачи ключей шифрования, что помогает смягчить целые классы атак на стороне сервера.
Резко набирающий тренд повсеместного внедрения агентного ИИ-помощника OpenClaw также оседлали в киберподполье, представители которого уже успели разработать инфостилер, нацеленный на эту платформу для кражи ключей API, токенов аутентификации и другие секретов.
OpenClaw (ранее ClawdBot и MoltBot) - это локально работающая платформа для ИИ-агентов с поддержкой постоянной конфигурации и среды памяти на компьютере пользователя.
Инструмент способен получать доступ к локальным файлам, входить в почтовые и коммуникационные приложения на хосте, а также взаимодействовать с онлайн-сервисами.
С момента своего выпуска OpenClaw получил широкое распространение по всему миру: пользователи стали активно полагаться на него для решения повседневных задач и в качестве ИИ-помощника.
Однако вслед за стремительной популярностью фреймворка возросли и связанные с ним риски, прежде всего по части потенциальной уязвимости для атак, нацеленных на конфигурационные файлы с секретными ключами аутентификации для доступа к облачным сервисам и платформам ИИ.
В свою очередь, Hudson Rock удалось задокументировать первый в реальных условиях инцидент с кражей файлов, связанных конфигурационной средой OpenClaw, с целью извлечения содержащихся в них секретов.
Таким образом, индустрия инфокрадов реализует переориентирование: с краж учетных данных браузера на персональные агенты ИИ.
Причем в HudsonRock предсказывали это еще в конце прошлого месяца, называя OpenClaw «новой более привлекательной целью для инфостилеров», в виду крайне конфиденциальных данных, с которыми работают агенты, и их относительно слабой защиты.
Как полагают в Hudson Rock, по всей видимости, в поле зрения исследователей попал одна из модификации Vidar.
При этом вредоносная ПО не нацелена конкретно на OpenClaw, а вместо этого выполняет обширную процедуру кражи файлов, сканируя их на наличие конфиденциальных файлов и каталогов, содержащих ключевые слова, такие как «токен» и «закрытый ключ».
Поскольку файлы в конфигурационном каталоге openclaw содержали и эти, и другие ключевые слова, вредоносная ПО их отработала. Среди них оказались следующие:
- openclaw.json (раскрыт адрес электронной почты жертвы, путь к рабочему пространству и токен аутентификации шлюза, что может позволить удаленное подключение к локальному экземпляру OpenClaw или выдачу себя за другого клиента в аутентифицированных запросах).
- device.json (содержал как publicKeyPem, так и privateKeyPem, используемые для сопряжения и подписи, которые позволяют обходить проверки «безопасного устройства» и получать доступ к зашифрованным журналам или облачным сервисам).
- soul.md, AGENTS.md, MEMORY.md (определяют поведение агента и хранят постоянные контекстные данные, включая журналы ежедневной активности, личные сообщения и события календаря).
Проанализировав все данные, в HudsonRock пришли к выводу, что украденных данных оказалось достаточно для потенциальной полной компрометации цифровой личности жертвы.
Исследователи прогнозируют, что злоумышленники будут и дальше фокусироваться на OpenClaw по мере того, как этот инструмент будет все глубже интегрироваться в профессиональные рабочие процессы и получать новый функционал.
Microsoft раскрыла подробности новой версии ClickFix, в которой злоумышленники обманом заставляют ничего не подозревающих пользователей запускать команды, выполняющие поиск в DNS для получения следующего этапа вредоносного кода.
Атака основана на использовании команды nslookup (nameserver lookup) для выполнения пользовательского поиска DNS через диалоговое окно "Выполнить" в Windows.
ClickFix остается достаточно популярным в киберподполье методом, традиционно реализуемым посредством фишинга, вредоносной рекламы или вредоносных ПО, часто перенаправляющих жертв на фейковые целевые страницы с фальшивой проверкой CAPTCHA или специальными инструкциями для выполнения команд через «Выполнить» в Windows или «Терминал» в macOS.
Этот метод получил широкое распространение за последние два года, поскольку основан на заражении жертвами собственных компьютеров вредоносным ПО, позволяя злоумышленникам обходить средства защиты.
Эффективность социнженерного ClickFix оказалась настолько высока, что привела к появлению сразу нескольких разновидностей, включая FileFix, JackFix, ConsentFix, CrashFix и GlitchFix.
В последней наблюдаемой версии развертывания на основе DNS с использованием ClickFix начальная команда выполняется через cmd.exe и осуществляет поиск DNS-сервера, жестко заданного внешним DNS-сервером, а не стандартным системным резолвером.
При этом вывод фильтруется для извлечения DNS-ответа Name:, который выполняется в качестве полезной нагрузки второго этапа.
Microsoft отмечает, что новая разновидность ClickFix задействует DNS в качестве «легковесного канала для подготовки или передачи сигналов», позволяя злоумышленнику получить доступ к контролируемой инфраструктуре, а также создать новый уровень проверки перед выполнением полезной нагрузки второго этапа.
Такое использование DNS снижает зависимость от традиционных веб-запросов и может обеспечить интеграцию вредоносной активности в обычный сетевой трафик.
Загруженная полезная нагрузка впоследствии запускает цепочку атак, которая приводит к загрузке ZIP-архива с внешнего сервера (azwsappdev[.]com).
Затем извлекается и запускается вредоносный скрипт на Python для проведения разведки, выполнения команд обнаружения и внедрения VBScript, ответственного за запуск ModeloRAT на основе Python, ранее распространявшегося через CrashFix.
Для обеспечения постоянного присутствия вредоносная ПО создает в папке автозагрузки Windows файл ярлыка, указывающий на VBScript, для автоматического запуска каждый раз при старте операционной системы.
Исследователи из Лаборатории Касперского продолжают отслеживать активность проукраинскую Head Mare, которая в период конца 2025 – начала 2026 года провернула новую кампанию.
Новая волна атак продемонстрировала дальнейшее развитие инструментария группировки. Ключевой находкой стал новый бэкдор PhantomHeart, который изначально распространялся в виде DLL-библиотеки, а позднее был переработан в PowerShell-скрипт.
PowerShell-бэкдор реализует канал удаленного доступа, сочетающий HTTP-коммуникацию с C2 и возможность развертывания SSH-туннеля по запросу оператора.
На этапе инициализации вредоносное ПО формирует идентификатор жертвы и затем использует его как для дальнейшей коммуникации с C2, так и для привязки конфигурации бэкдора к конкретному хосту.
Список управляющих серверов хранится в зашифрованном виде и расшифровывается во время выполнения. Для этого используется алгоритм AES-128-CBC, при этом ключ генерируется на основе MAC-адреса зараженной системы.
После расшифровки адресов PhantomHeart переходит в основной цикл взаимодействия с C2. Для обмена данными используются HTTP POST-запросы, содержащие вредоносную нагрузку в формате JSON. Запросы отправляются через встроенные PowerShell-механизмы.
Ключевой функциональной возможностью PhantomHeart является развертывание SSH-туннеля по указанию C2-сервера. Отдельного внимания заслуживает механизм закрепления: бэкдор запускался через планировщик задач под видом легитимного скрипта обновления, размещенного в директории LiteManager.
Новая волна активности Head Mare затронула широкий спектр российских компаний, включая как организации из госсектора, так и в строительной и промышленной отраслях.
Замеченный переход отражает стремление Head Mare активнее применять подход Living-off-the-Land и опираться на нативные механизмы Windows для постэксплуатации.
Такая стратегия прослеживается и в остальном арсенале группы: в рамках текущей кампании прокси-инструмент PhantomProxyLite, характерный для атак группы, также получил реализацию на PowerShell, сохранив при этом сохраняет ту же архитектурную логику.
Вместо фонового сервиса закрепление теперь осуществляется через задачу планировщика Windows с тем же именем, SSHService, настроенную на запуск при старте системы от имени учетной записи SYSTEM.
Кроме того, исследователи ЛК выявили новые кастомизированные утилиты с ограниченной, узкой функциональностью, используемые для закрепления в инфраструктуре жертв и повышения привилегий.
При этом подходы к первоначальному доступу остаются прежними. Head Mare продолжает эксплуатировать уязвимость в TrueConf Server, а в отдельных случаях - фишинговые рассылки, сочетая проверенные векторы проникновения с постепенно обновляемым арсеналом.
Выявленная активность Head Mare показывает, что группировка продолжает перестраивать свой инструментарий и цепочки атак.
Появление нового PhantomHeart и все более активное использование средств автоматизации позволяют ей реплицировать и масштабировать свои операции.
Все технические подробности и актуальные IOCs - в отчете.