⚡ Еженедельный обзор: уязвимости нулевого дня в службе поддержки, мошеннические сертификаты, арест ShinyHunters, вредоносное ПО, обманывающее ИИ..

[zender]

Некоторые совещания длятся дольше, чем потребовалось злоумышленникам, чтобы обнаружить на этой неделе недавно выявленную уязвимость в системе безопасности. Уже через несколько часов они начали её тестировать. Этого времени недостаточно, чтобы прочитать предупреждение, не говоря уже о том, чтобы что-то предпринять.


Но скорость — это лишь часть проблемы. Безопасное соединение не всегда означало безопасное место назначения. Люди, предлагавшие помощь в устранении последствий атаки программ-вымогателей, сами задавались вопросами. Вредоносные программы стали лучше скрывать свои следы. А некоторые системы оказались проще для взлома, чем кто-либо хотел бы признать. Самое странное, что многое из этого выглядело вполне обычным, пока кто-то не проверил внимательнее.


Здесь происходит нечто большее, чем просто несколько неприятных багов и хитрых атак. Некоторые из менее значительных событий не менее показательны. Полный обзор этой недели стоит прочитать, особенно те моменты, которые не попали в заголовки новостей.

Угроза недели ​

Уязвимость в Atlassian используется злоумышленниками — Злоумышленники начали использовать недавно обнаруженную критическую уязвимость безопасности, затрагивающую продукты Atlassian Data Center, которая может позволить получить доступ к конфиденциальным файлам при определенных условиях. Уязвимость произвольного доступа к файлам, отслеживаемая как CVE-2026-21589 (оценка CVSS: 9.3), затрагивает несколько продуктов, включая Bitbucket Data Center, Confluence Data Center, Jira Service Management Data Center, Jira Software Data Center, Bamboo Data Center, Crowd Data Center, Crucible и Fisheye. Сообщается, что эксплуатация уязвимости, направленная на сеть-ловушку, началась через два часа после того, как watchTowr опубликовал дополнительные технические подробности об уязвимости.

Главные новости ​

• Генеральный директор компании MonsterCloud, занимающейся восстановлением данных после атак программ-вымогателей, обвинен в тайной оплате услуг хакеров — Зохар Пинхаси, владелец флоридской компании MonsterCloud, обвиняется в мошенничестве с использованием электронных средств связи за ложные заявления о том, что он может помочь жертвам восстановить данные без уплаты выкупа. Вместо этого, по словам прокуроров, Пинхаси просто платил выкупы и взимал с жертв плату, значительно превышающую первоначальную сумму выкупа. Компания MonsterCloud также фигурировала в расследовании ProPublica 2019 года, посвященном компаниям, обманывающим жертв программ-вымогателей путем выплаты выкупов и взимания непомерных комиссий.
• Обнаружен новый вариант DarkSword — ранее неизвестный вариант эксплойт-комплекта DarkSword для iOS, называемый P7 DarkSword, был обновлен для поддержки кражи данных из связки ключей и криптокошелька на устройстве, а также для обеспечения двусторонней связи C2 с инфраструктурой злоумышленника. Новый вариант значительно лучше скрывается и улучшает свою работу, делая предыдущие индикаторы компрометации (IOC) неэффективными. Изменения свидетельствуют о существенной работе операторов, а не о простых модификациях. Самое важное изменение заключается в том, что он может извлекать данные из связки ключей непосредственно на iPhone перед отправкой злоумышленникам, в отличие от копирования всей базы данных связки ключей для удаленной обработки. Имеются данные, указывающие на то, что эксплойт-комплект распространяется через вредоносную рекламу в рамках атак типа «watering hole».
• UAC-0099 продолжает обновлять вредоносное ПО MATCHBOIL — Связанная с Россией хакерская группировка UAC-0099 активно совершенствует загрузчик вредоносного ПО под названием MATCHBOIL, что говорит о её намерении использовать этот инструмент в будущих атаках. За последний год MATCHBOIL эволюционировал от загрузчика, который, по сути, запускался один раз, связывался со своим C2-сервером и загружал и устанавливал полезную нагрузку следующего этапа, до программы, запускающейся каждые две минуты. Это изменение позволяет ему многократно связываться со своим управляющим сервером и получать новые или обновлённые полезные нагрузки.
• ФБР пресекло деятельность хакерских инструментов и доменов, связанных с Flax Typhoon — Федеральное бюро расследований США (ФБР) и Министерство юстиции (МЮ) объявили о пресечении деятельности вредоносных инструментов, используемых связанной с Китаем группой киберпреступников, известной как Flax Typhoon. В то время как Microscan использовался для проведения разведки и сканирования уязвимостей компьютеров, FishHub, предположительно, позволял использовать уязвимости компьютерных сетей посредством целевых фишинговых атак и развертывания последующих вредоносных программ. Исполняющий обязанности исполнительного помощника директора CISA по кибербезопасности Крис Бутера заявил, что китайские правительственные хакеры «продолжают занимать позиции в сетях критической инфраструктуры, включая системы операционных технологий (OT), с целью нарушения критически важных функций в будущем по своему выбору». Компания Integrity Technology наиболее известна в Китае разработкой киберполигонов страны и публично заявляла ранее о значительном государственном финансировании. Исследование Natto Thoughts показало, что компания была основана в 2010 году Цай Цзинцзином, легендарным хакером в Китае.
• ФБР сообщило об аресте еще одного члена группы ShinyHunters — ФБР заявило о третьем аресте в связи с деятельностью этой печально известной киберпреступной группировки , в результате чего кольцо вокруг нее сужается . «Наши агенты на местах арестовали еще одного предполагаемого соучастника группы ShinyHunters — группы, которая, как считается, несет ответственность за недавний инцидент с сайтом FBIjobs.gov, произошедший на платформе, управляемой сторонним поставщиком», — заявил директор ФБР Каш Патель. Хотя личность арестованного не разглашается, в судебных документах , на сайте POLITICO и независимом журналисте по вопросам безопасности Брайане Кребсе говорится, что это Эдвард Дубровский, 54-летний руководитель и инвестор в сфере кибербезопасности, проживающий в Торонто. Дубровскому предъявлены обвинения в сговоре с целью угрозы нарушения конфиденциальности информации с целью вымогательства денег, а также во вмешательстве в коммерческую деятельность путем угроз. Это уже третий публично объявленный арест с момента появления новостей о взломе в конце сентября 2026 года. В сообщении в Telegram группа заявила : «Мы не будем оставаться активными в Telegram в течение длительного времени, поскольку, по сообщениям, несколько наших участников были арестованы ФБР».
• Злоумышленники захватили три национальных домена верхнего уровня (ccTLD) для получения сертификатов Google — Google сообщила, что неизвестные злоумышленники получили несанкционированные HTTPS-сертификаты для нескольких доменов Google и захватили домены в национальных доменах верхнего уровня (ccTLD) Ганы (.gh), Американского Самоа (.as) и Сьерра-Леоне (.sl) после взлома сторонних операторов и изменения авторитетных DNS-записей. «В ходе этих захватов злоумышленники изменили авторитетные DNS-записи и получили несанкционированные HTTPS-сертификаты, охватывающие несколько доменов Google, а также домены, принадлежащие другим организациям», — заявила Google. «После наших первоначальных мер по смягчению последствий данные журналов Certificate Transparency (CT) выявили дополнительные организации, включая несколько ведущих мировых брендов и широко используемых онлайн-сервисов, которые, как предполагается, пострадали от тех же атак». Chrome заблокировал несанкционированные сертификаты с помощью CRLSets .
• Уязвимость в GoBalance может быть использована для захвата сайтов TOR .onion — Уязвимость в GoBalance, инструменте балансировки нагрузки, используемом многими сайтами даркнета, может быть использована для восстановления скалярной суммы подписи главного ключа сайта из его общедоступных данных, что в конечном итоге позволит захватить сайт и перенаправить его. «В период с 5 по 7 октября оба адреса .onion Dread, известного форума даркнета, были захвачены и перенаправлены на конкурирующую платформу Conclave», — сообщила компания Searchlight Cyber. «Несколько торговых площадок, использующих то же программное обеспечение, также пострадали. Операторы Dread первоначально объяснили инцидент случайной утечкой ключа; приведенные ниже доказательства указывают на то, что более вероятной причиной была уязвимость GoBalance, по крайней мере, для второго адреса».

‎️‍ Актуальные CVE-уязвимости ​

Еженедельно появляются новые ошибки, и промежуток между патчем и эксплойтом быстро сокращается. Вот самые распространённые ошибки этой недели: серьёзные, широко распространённые или уже используемые злоумышленниками в реальных условиях.

Проверьте список, установите необходимые обновления и в первую очередь устраните уязвимости, отмеченные как срочные: CVE-2026-86360, CVE-2026-86361, CVE-2026-86362 (Dell System Update), CVE-2026-21589 (Atlassian), CVE-2026-93355 (LiteLLM), CVE-2026-106382, CVE-2026-106197, CVE-2026-106358, CVE-2026-106347 (Google Chrome), CVE-2026-102255 (SonicWall SMA 1000), CVE-2026-105192 (LMCache), CVE-2026-102406, CVE-2026-103008. CVE-2026-102404, CVE-2026-102413 (Elasticsearch), CVE-2026-104711, CVE-2026-104712, CVE-2026-104713, CVE-2026-104714 (Apache Struts), CVE-2026-91140 (Progress DataDirect), CVE-2025-64393, CVE-2026-58069 (Veeam Backup & Replication), CVE-2026-32740 (Next.js), CVE-2026-18397 (Thales SConnect), CVE-2026-84388 ( расширение Fortinet FortiPAM для Chrome ), CVE-2026-76464, CVE-2026-20328, CVE-2026-76454, CVEs, CVE-2026-76482, CVE-2026-76480, CVE-2026-76483, CVE-2026-76455, CVE-2026-76459, CVE-2026-76471, CVE-2026-76465, CVE-2026-76485, CVE-2026-76486, CVE-2026-76501, CVE-2026-76498, CVE-2026-76499, CVE-2026-76500 ( Cisco ), CVE-2026-76281, CVE-2026-76282, CVE-2026-76284 CVE -2026-76268 (Splunk), CVE-2026-85097 (плагин WordPress Bricksforge), CVE-2026-93836 (плагин WordPress WPC Product Bundles for WooCommerce), CVE-2026-94504 (плагин WordPress Ninja Forms), CVE-2026-105133, CVE-2026-105134 (AhsayCBS), CVE-2026-96940 (Microsoft Exchange Server), CVE-2026-63277 (LibreOffice), CVE-2026-59265 (Apache OpenOffice), а также множество других уязвимостей в WordPress.

Вокруг кибермира ​

• Группировка, связанная с Индией и известная как Dropping Elephant (или Patchwork), нацелена на правительственные, оборонные, военно-морские, аэрокосмические/БПЛА, академические и другие стратегически важные сектора в Пакистане, Шри-Ланке, Китае и Южной Корее. «Группа продолжает использовать целевые фишинговые кампании со вредоносными вложениями LNK для распространения вредоносного ПО на основе PowerShell, DLL-библиотек для загрузки вредоносных программ и RAT-программ, работающих в оперативной памяти», — сообщает Arctic Wolf .
• Bitter , еще один субъект угроз, предположительно действующий в интересах Индии, в июне 2026 года атаковал европейское посольство в Азии, рассылая фишинговые электронные письма с приманкой на тему Чемпионата мира по футболу FIFA, чтобы доставить BDarkRAT. «Злоумышленники взломали легитимный почтовый ящик дипломатического аккаунта из африканской страны, чтобы отправить вредоносное сообщение», — сказал Трелликс . «Атака использовала многоэтапный метод доставки, начинающийся с прикрепленного ZIP-файла, содержащего образ диска VHDX. Внутри этого образа находился ярлык (.lnk), замаскированный под PDF-документ. После запуска этот ярлык инициировал зашифрованную последовательность команд PowerShell и командной строки. Этот процесс создал запланированную задачу, обманчиво названную так, чтобы выглядеть как системная ошибка для обеспечения постоянного присутствия, и отправил сигнал на удаленный сервер. Это первоначальное соединение позволило провести разведку, собрав системную информацию и в конечном итоге загрузив установщик MSI второго этапа, который развернул троян удаленного доступа BDarkRAT».
• Let's Encrypt заявила, что с февраля 2027 года срок действия TLS-сертификатов по умолчанию сократится Компания с 90 до 64 дней в рамках подготовки к запланированному на 2028 год увеличению срока действия до 45 дней.
• В длинном посте на X генеральный директор Microsoft Сатья Наделла указал на опасность, исходящую от высокотехнологичных моделей ИИ , заявив, что ИИ больше нельзя рассматривать как «набор вложенных черных ящиков», и призвал к созданию более прозрачной системы, в которой модели могут быть изолированы, отслеживаться и оставлять «защищенные от подделки, читаемые человеком доказательства». Наделла добавил: «Мы должны исходить из предположения, что модель скомпрометирована, и изолировать ее с самого начала. Представьте это как аварийный тормоз. Уполномоченное лицо всегда должно иметь возможность приостановить или остановить работу модели в середине задачи. Более сложные модели потребуют более совершенных технологий изоляции, которые нам необходимо стандартизировать».
• Данные Comparitech показали, что в третьем квартале 2026 года были зафиксированы самые высокие квартальные показатели по количеству атак программ-вымогателей за всю историю наблюдений — в общей сложности 2627 инцидентов . Это на 29% больше, чем во втором квартале 2026 года, когда было зарегистрировано 2030 атак, и на 61% больше, чем в третьем квартале 2025 года, когда произошло 1636 атак. Медианная сумма выкупа составила 150 000 долларов, а средняя — 602 400 долларов. Наиболее активными группировками оказались Qilin и The Gentlemen.
• 42-летний Олег Корниев , имеющий двойное гражданство Украины и России, признал себя виновным в США в организации сложной международной системы отмывания денег, которая занималась отмыванием миллионов долларов, украденных у американских жертв. Преступная организация завербовала более 15 000 «денежных курьеров» в США для отмывания как минимум 10 миллионов долларов, украденных хакерами с более чем 750 банковских счетов в США. Корниев был одним из лидеров Your Mule Cashout (YMCO).
• Американское жюри признало 36-летнего Джонатана Спаллетту (известного также как Cthulhon и Jspalletta) из Мэриленда виновным в компьютерном мошенничестве и отмывании денег в связи с двумя отдельными взломами децентрализованной криптовалютной биржи Uranium Finance в 2021 году. Ему грозит до 10 лет тюрьмы по обвинению в мошенничестве и 20 лет по обвинению в отмывании денег. «В ходе первого взлома, 8 апреля 2021 года, Спаллетта совершил серию обманных транзакций с использованием смарт-контракта Uranium, которые позволили ему вывести гораздо больше «вознаграждений» в криптовалюте, чем ему было разрешено получать», — говорится в заявлении Министерства юстиции . «Он повторял эти транзакции снова и снова, пока не истощил пул ликвидности почти всеми токенами вознаграждения. В общей сложности, в ходе первой атаки Спаллетта успешно вывел криптовалюту на сумму около 1,4 миллиона долларов. Во время второй атаки, 28 апреля 2021 года, Спаллетта воспользовался ошибкой в смарт-контракте Uranium, который регулировал объем криптовалюты, которую он мог вывести из пула ликвидности Uranium. Спаллетта использовал эту проблему в нескольких отдельных пулах ликвидности Uranium, мошенническим путем получив около 53,3 миллиона долларов в криптовалюте и вызвав закрытие Uranium из-за нехватки средств». Украденные средства в конечном итоге были отмыты посредством сложной серии криптовалютных транзакций, в том числе с использованием криптовалютного миксера Tornado Cash.
• Компания OpenAI сообщила о пресечении двух операций по оказанию влияния со стороны России ( Dark Clark ) и Ирана ( Bogus Bylines ), которые использовали ChatGPT и другие инструменты ИИ для создания «подставных» структур, таких как семь вымышленных журналистских аккаунтов и тайные аналитические центры, успешно внедрявшие истории и нарративы в основные новостные издания. «Они использовали эти структуры для распространения геополитической информации, связанной с конфликтами, среди своей целевой аудитории», — заявила OpenAI . «Обе операции были многогранными, используя целый ряд различных тактик для достижения своих целей. Помимо длинных статей, иранская операция генерировала множество комментариев в социальных сетях, как правило, на темы, связанные с войной США и Ирана. Помимо контроля над «аналитическим центром», российская операция создавала поддельные «просочившиеся» документы и аудиозаписи, некоторые из которых, как мы установили, распространялись в интернете». Однако некоторые из изданий, опубликовавших статьи, имели значительную аудиторию, в том числе одно с 2 миллионами подписчиков в Facebook.
• Злоумышленники внедряют в вредоносное ПО возможности обхода анализа с помощью ИИ (также известные как A3), внедряя инструкции на естественном языке для влияния на автоматический анализ. По данным Cisco Talos, такие методы были обнаружены в отношении четырех семейств вредоносных программ: FRUITSHELL, PLOTSAFE, HOLLOWCLAD и MANTLEMAZE. Это включает в себя комментарии, препятствующие анализу, в исходном коде, в некоторых случаях генерируемые из шаблона и содержащие запугивающие примечания, которые указывают модели, что она является контролируемой ловушкой. «То, что начиналось как метод прямых инструкций, эволюционировало в нацеливание на множество моделей посредством распыления шаблонов», — говорится в сообщении Talos . «Авторы вредоносного ПО также пытаются создать несколько условий обхода анализа, используя прямые или косвенные инструкции сдерживания, направленные на модель».
• Мошенническая схема с использованием рекламных контрактов нацелена на создателей контента на YouTube, которые выдают себя за компанию Hollyland, законного производителя беспроводного оборудования и аудиовизуальной техники. Фишинговые электронные письма ведут на поддельный веб-сайт, где пользователям предлагается войти в свою учетную запись Google с целью получения их учетных данных. «Злоумышленники, взломавшие вашу учетную запись, могут использовать ее для доступа к другим связанным сервисам или выдавать себя за них, чтобы связаться с вашими подписчиками или коллегами», — заявила компания ESET . «Взломанная учетная запись также может быть использована для распространения вредоносных ссылок и осуществления других мошеннических схем».
• В инструменте мониторинга графических процессоров NVIDIA DCGM Exporter обнаружена серьезная уязвимость ( CVE-2026-47483 , оценка CVSS: 8.2), которая может быть использована неавторизованными злоумышленниками для перегрузки конечных точек профилирования одновременными неавторизованными запросами с целью исчерпания ресурсов и сбоя сервиса, что потенциально может замедлить работу рабочих нагрузок ИИ на том же хосте. Компания Lava Security сообщила об обнаружении примерно 2100 хостов, предоставляющих доступ к экспортеру через интернет без аутентификации в период с марта по май 2026 года, что привело к утечке телеметрических данных с более чем 12 000 графических процессоров. Хосты принадлежали примерно 300 организациям, а стоимость оборудования составляла около 100 миллионов долларов. Уязвимость устранена в версии 4.8.2 или более поздней. «По мере масштабирования инфраструктуры ИИ организациям необходимо защищать каждый уровень стека и точно знать, за что отвечают они сами, а за что — их поставщик», — заявила Lava.
• 30-летний Рахим Гамильтон , житель Вирджинии, соавтор и управляющий Empire Market, торговой площадкой в даркнете, занимавшейся продажей незаконных товаров и услуг, был приговорен к 40 годам тюремного заключения . Рахим признал свою вину в январе 2026 года.
• В сети были обнаружены три новых загрузчика вредоносного ПО: 2CLoader , распространяющий Vidar, Remus Stealer и XWorm RAT, AvisLoader , распространяемый через приманки ClickFix и взаимодействующий через Fox, зашифрованную одноранговую (P2P) сеть обмена сообщениями, для получения команд и дополнительных полезных нагрузок от оператора, и Sauron Loader , предлагающий функциональность загрузчика исключительно русскоязычным киберпреступникам.
• Появились подробности о двух уязвимостях Zammad, которые были использованы в качестве уязвимостей нулевого дня для взлома голландского Института раскрытия уязвимостей (DIVD). По данным Horizon3.ai и Sysdig , CVE-2026-102489 — это уязвимость удаленного выполнения кода, затрагивающая версии от 6.3.0 до 6.5.4, а CVE-2026-102490 — это уязвимость локального повышения привилегий (LPE), затрагивающая все версии от 1.5.0 до 7.1.0-alpha. 2 октября 2026 года Агентство кибербезопасности и защиты инфраструктуры США (CISA) добавило эти уязвимости в свой каталог известных эксплуатируемых уязвимостей ( KEV ), потребовав от федеральных агентств применить исправления к 5 октября 2026 года.
• Расследование показало, что «злоумышленник, стоящий за атакой , совершенной компанией Huntress в сентябре 2026 года, атаки программы-вымогателя Akira, получил доступ к конечной точке через протокол удаленного рабочего стола (RDP), отключил антивирус и развернул Rclone для утечки данных, прежде чем запустить программу-вымогатель. Злоумышленник также развернул инструмент туннелирования ГОСТ, вероятно, для обеспечения постоянного присутствия в системе».

Заключение ​

Несколько арестов и задержаний принесли на этой неделе хорошие новости. Но общая картина менее обнадеживающая. Злоумышленники продолжают находить новые способы проникновения, старые ошибки по-прежнему работают, и даже системы, призванные помогать или защищать людей, не всегда оказываются такими, какими кажутся.


На этом всё в этом выпуске. Не каждая история здесь заслуживает вашего внимания, но некоторые могут быть интереснее. Особенно те, которые кажутся вам слишком похожими на вашу собственную ситуацию. Лучше заметить проблему в чужой истории, чем стать частью следующей. До встречи на следующей неделе.

Источник