Еженедельный обзор: угроза ShareFile, программа-вымогатель Citrix Bleed 2, атаки с использованием искусственного интеллекта и многое другое.

[admin]

Где-то прямо сейчас какой-то инструмент безопасности незаметно обнаруживает ошибки быстрее, чем любой человек может их исправить. Это должно быть хорошей новостью. Подвох в том, что у злоумышленников есть те же инструменты, но направленные в другую сторону, и они не создают заявки в службу поддержки.

Такова картина этой недели. Доверенный код нацеливается на тех, кто его установил. Старые ошибки прошлого года всё ещё всплывают, потому что исправление слишком долго находилось в очереди. Поддельные установщики, отравленные пакеты, системы, оставленные открытым интернетом, и полезные маленькие ИИ-помощники, выполняющие инструкции, которые никогда не были вашими.

Разрыв между "патч существует" и "уязвимость уже использована" неуклонно сокращается, и никто его не устраняет. В этом нет ничего экзотического. Вот что изматывает. Те же самые обычные ошибки, просто происходят быстрее, чем мы успеваем за ними следить.

Вот весь этот бардак, от начала до конца.

Угроза недели ​

Компания Progress призвала клиентов ShareFile отключить контроллеры зон хранения — Progress настоятельно рекомендовала своим клиентам отключить серверы Windows, на которых работают контроллеры зон хранения, ссылаясь на реальную внешнюю угрозу безопасности. Компания временно заблокировала доступ к затронутым учетным записям, заявив, что предприняла этот шаг «из соображений предосторожности» в связи с работой с внутренними и внешними экспертами по безопасности. Точная природа угрозы неизвестна. Нет никаких признаков несанкционированного доступа к каким-либо учетным записям или данным ShareFile.

Главные новости ​

• Устранена критическая уязвимость в Zimbra — Zimbra настоятельно рекомендует клиентам установить обновления для устранения критической уязвимости безопасности, затрагивающей классический веб-клиент, которая может привести к выполнению произвольного кода. Уязвимость описывается как случай хранимого межсайтового скриптинга (XSS), который может позволить специально созданным электронным письмам выполнять вредоносные скрипты в сеансе пользователя. Идентификатору CVE пока не присвоен. «Обновление устраняет проблему безопасности в классическом веб-клиенте, где специально созданное электронное письмо может запустить вредоносный код при открытии письма», — заявила Zimbra. «В случае эксплуатации это может позволить получить доступ к информации почтового ящика, данным сеанса или настройкам учетной записи».
• Взлом пакета npm Jscrambler — Пакет npm Jscrambler был взломан для публикации нескольких версий, содержащих программу для кражи информации на основе Rust, предназначенную для кражи секретов разработчиков с машин под управлением Windows, macOS и Linux. По данным Jscrambler, атака была осуществлена с использованием скомпрометированных учетных данных для публикации в npm. Эта активность пересекается с IronWorm , о котором JFrog впервые сообщила в прошлом месяце. «Вредоносная программа сбросила свою оболочку, предназначенную только для Linux, развернув трехплатформенный контейнер CSI для атаки на macOS и Windows, расширив свою устойчивость и автоматизировав собственное распространение посредством прямых операций PUT в реестре», — заявила компания.
• Подробности о новом бэкдоре GigaWiper — Microsoft пролила свет на новый бэкдор, появляющийся после взлома системы, под названием GigaWiper, который предлагает три различных способа сделать компьютер неработоспособным: стереть весь диск, перезаписать диск Windows или запустить поддельное «программное обеспечение-вымогатель», шифрующее файлы ключом, который никогда не сохраняется. Кроме того, он может делать скриншоты, записывать экран и запускать скрытую сессию VNC. Эти вредоносные программы похожи на другой бэкдор под кодовым названием BLUERABBIT, который, по оценкам, является работой иранского киберпреступника.
• SHELLSTORM — современная операция по предоставлению доступа к веб-оболочкам: более 1,4 миллиона доменов стали объектом масштабной операции, в ходе которой были использованы 27 уязвимостей CVE в плагинах WordPress для развертывания веб-оболочек на скомпрометированных серверах. Наибольшее количество заражений зарегистрировано в Тайване, США, Германии, Франции и Великобритании. Доступ, предоставляемый веб-оболочкой, затем используется для доставки вредоносной программы SNOWLIGHT и бэкдора VShell . Операция получила кодовое название SHELLSTORM. Предполагается, что она совершена китайским или китайскоязычным злоумышленником.
• HalluSquatting может обмануть помощников по программированию на основе ИИ и заставить их установить ботнеты — Хотя инструменты искусственного интеллекта (ИИ) склонны к галлюцинациям, новое исследование подробно описывает новую разновидность slopsquatting и phantom squatting, называемую HalluSquatting. По сути, эта техника заключается в регистрации правдоподобно звучащих имен ресурсов, придуманных агентом ИИ, их предварительной регистрации, а затем ожидании, пока помощник выполнит вредоносный код, встроенный в этот код. Атака сочетает галлюцинации с внедрением подсказок, чтобы обманом заставить агента выполнить инструкции, контролируемые злоумышленником.

Актуальные CVE-уязвимости ​

Еженедельно появляются новые ошибки, и промежуток между патчем и эксплойтом быстро сокращается. Вот самые распространённые ошибки этой недели: серьёзные, широко распространённые или уже используемые злоумышленниками в реальных условиях.


Проверьте список, установите необходимые обновления и в первую очередь устраните уязвимости, отмеченные как срочные — от BRLY-2026-037 до BRLY-2026-042 (U-Boot), CVE-2026-50746, CVE-2026-50747, CVE-2026-50748, CVE-2026-54400, CVE-2026-55115, CVE-2026-54402, CVE-2026-55116 (Ubiquiti Unifi), CVE-2026-40138, CVE-2026-40139, CVE-2026-40140, CVE-2026-40141 (BeyondTrust Remote Support and Privileged Remote Access), CVE-2026-11405 (Tenda). CVE-2026-43499, также известный как GhostLock, CVE-2026-46215 (ядро Linux), CVE-2026-53359 , также известный как Januscape (KVM/x86), ( fast-mcp-telegram), CVE-2026-52830 CVE-2026-57992 (Microsoft Edge) , CVE-2026-11712, CVE-2026-11708, CVE-2026-11595 (IBM WebSphere Application Server), CVE-2026-12184 , CVE-2026-14355 (PHP), CVE-2026-52761 , CVE-2026-52747 (OWASP ModSecurity), CVE-2026-14898 (OpenAI Codex for macOS), CVE-2026-13753 (серия принтеров HP Deskjet 2800), CVE-2026-10706, CVE-2026-10708 (API базы данных Adalo), CVE-2026-15112, CVE-2026-15129 (Google Chrome), CVE-2026-12116, CVE-2026-14261 (Xerte Online Toolkit), CVE-2026-13461, CVE-2026-13462 (Приложение PayRange для Android), CVE-2026-0288 (Palo Alto Networks PAN-OS), CVE-2026-47291 (Microsoft Windows HTTP.sys), CVE-2026-15146 (GNU Wget), CVE-2026-31694 (Linux FUSE), CVE-2026-54432 (веб-почта Roundcube), CVE-2026-14544 ( HP Linux Imaging and Printing ), CVE-2026-13126, CVE-2026-57260, CVE-2026-57248, CVE-2026-57246 (Foxit PDF Reader and PDF Editor), CVE-2026-6896, CVE-2026-13320 (GitLab CE и EE). CVE-2025-14179 (pdo_firebird) и CVE-2025-14180 (PDO PostgreSQL)

Вокруг кибермира ​

• Взлом шлюзов ИИ для криптомайнинга — Были зафиксированы случаи взлома шлюзов ИИ, таких как LiteLLM Proxy, подключенных к сервисам Amazon Bedrock, для развертывания полезных нагрузок, взаимодействующих с инфраструктурой криптомайнинга для несанкционированной вычислительной деятельности. Сообщается, что первоначальный доступ к экземпляру EC2 LiteLLM Proxy осуществлялся через SSH-доступ, доступный из интернета. «Хотя в конечном итоге это, по-видимому, привело к несанкционированному криптомайнингу, инцидент примечателен тем, где он произошел», — заявила компания Darktrace . «Скомпрометированный актив находился на стыке облачной инфраструктуры, идентификации и сервисов ИИ. Этот инцидент демонстрирует, почему организациям следует рассматривать инфраструктуру ИИ как часть своей критической поверхности атаки, а не как отдельный уровень приложений».
• Сообщается об использовании уязвимости CVE-2026-1207 — Злоумышленники активно используют уязвимость безопасности в Django (CVE-2026-1207), уязвимость SQL-инъекции, которая может привести к удаленному выполнению кода. «Объемы наблюдаемых эксплуатаций остаются стабильными из недели в неделю, что указывает на сохраняющийся интерес со стороны злоумышленников», — заявила компания CrowdSec . «Большинство наблюдаемых атак включают целенаправленную разведку для выявления уязвимых конфигураций Django и PostGIS, что говорит о сложной стратегии целевого воздействия, а не о широкомасштабном распространении уязвимостей».
• Многоэтапное заражение приводит к появлению бэкдора в Node.js — вредоносный ZIP-файл, содержащий ярлык Windows (LNK), используется для выполнения скрытой команды PowerShell, которая загружает легитимный исполняемый файл node.exe и развертывает бэкдор на основе NodeJS. «Вредоносная программа также использует технику EtherHiding, используя блокчейн TON для получения своего адреса управления и контроля (C2)», — заявила компания LevelBlue . «Кампания начинается со спам-письма, нацеленного на сектор гостеприимства, с использованием приманок, связанных с бронированием. Письмо содержит ссылку, размещенную на Google Share, которую злоумышленник использует, чтобы придать ей видимость легитимности и обойти фильтрацию безопасности электронной почты».
• уязвимость Citrix Bleed Злоумышленники используют 2 ( CVE-2025-5777 ) для распространения программы-вымогателя DragonForce. «После получения доступа злоумышленник следовал типичной схеме действий после взлома: повышение привилегий до уровня SYSTEM с помощью символической ссылки в реестре/увеличения привилегий в AppMgmt, создание поддельных локальных учетных записей администратора и обеспечение постоянного присутствия с помощью легитимных инструментов удаленного доступа, таких как ScreenConnect и Zoho Assist», — говорится в статье Huntress . «В самом сложном случае операция завершилась развертыванием программы-вымогателя DragonForce, поэтому главный вывод статьи — это необходимость срочных действий: необходимо обновить уязвимые устройства NetScaler, сохранять и анализировать журналы, завершать незавершенные сеансы и проводить аудит на наличие подозрительных учетных записей и инструментов удаленного управления». Компания, занимающаяся кибербезопасностью, заявила, что в первой половине 2026 года зафиксировала полдюжины вторжений в несвязанные организации с использованием одной и той же повторяющейся семиэтапной цепочки атак, что указывает на высокую степень стандартизации действий операторов, а не на единичные случаи взлома.
• Поддельный китайский VPN-сервис распространяет GoodPersonRAT — Замечено, что MSI-файл, маскирующийся под установщик Kuailian VPN (он же LetsVPN), загружает и запускает зашифрованный RAT-программу под названием GoodPersonRAT, которая предоставляет злоумышленникам полный контроль над компьютером жертвы и ее данными. «Реализовано несколько функций, таких как полное удаленное управление, перехват нажатий клавиш, манипулирование браузером, сохранение активности и автоматическое обновление», — сообщает Threatdown .
• Поддельный пакет NuGet от Braintree распространяет вредоносный код вредоносный пакет .NET под названием Braintree.Net, — обнаружен который имитирует легитимный SDK Braintree, развертывая многоступенчатый .NET-имплант, перехватывающий данные платежных карт в режиме реального времени, похищающий ключи API продавцов Braintree и собирающий секреты среды хоста при загрузке сборки. Он также способствует краже токенов, обходит песочницы и реализует ограничение доступа только для производственной среды. «Такое двойное поведение позволяет злоумышленнику целенаправленно атаковать платежные данные в производственной среде, в то время как разведка среды позволяет охватить более широкую область», — заявили в Socket.
• Вредоносная программа RedHook для Android использует беспроводной ADB для доступа к командной оболочке — В обновленной версии трояна RedHook для Android появились новые, сложные и вредоносные функции, включая автономное злоупотребление привилегиями, расширенные возможности управления и контроля, а также надежный стек обеспечения постоянного доступа. «Сохраняя основные функции RAT, такие как потоковая передача экрана и перехват нажатий клавиш, последние версии демонстрируют сложный сдвиг в сторону злоупотребления привилегиями», — заявила Group-IB . «RedHook использует функции беспроводной отладки ADB в Android для автономного получения доступа к уровню командной оболочки». Недавняя активность указывает на расширение целевой аудитории за пределы Вьетнама и включение пользователей в Индонезию, что предполагает более широкую региональную направленность по всей Юго-Восточной Азии. Вредоносная программа распространяется через поддельные правительственные и финансовые веб-сайты, но вредоносные APK-файлы размещаются на авторитетных облачных и платформах разработки, включая AWS S3 Buckets и репозитории GitHub, вероятно, в попытке повысить надежность доставки.
• Фишинговая кампания нацелена на российские аэрокосмические организации — Целевая фишинговая кампания, замаскированная под настоящий счет-фактуру, нацелена на аэрокосмические организации в России. «Фишинговое электронное письмо выдает себя за легитимный российский научно-исследовательский институт, связанный с аэрокосмическими и авиационными системами, и доставляется с использованием поддельного домена, имитирующего организацию», — заявили в Seqrite Labs . «Вредоносное электронное письмо содержит защищенное паролем вложение, которое в конечном итоге развертывает дополнительные вредоносные программы в системе жертвы. Анализ показывает, что основная цель злоумышленника — установить постоянный удаленный доступ путем скрытой настройки AnyDesk для доступа без участия пользователя, утечки данных конфигурации AnyDesk на контролируемый злоумышленником почтовый ящик и внедрения механизмов обеспечения устойчивости для сохранения долгосрочного контроля над скомпрометированным хостом». Эта деятельность пересекается с ранее задокументированными кампаниями, приписываемыми Rare Werewolf (также известному как Librarian Ghouls), который, как известно, нацелен на организации в России, Беларуси и Казахстане.
• Появилась группа мошенников, занимающихся вымогательством данных, под названием Helix — новая группа мошенников, использующая фишинг голоса (вишинг), фишинг кода устройства и злоупотребление многофакторной аутентификацией (MFA) для кражи данных из сред SharePoint. Сообщается, что Helix возникла из экосистем BlackFile (также известной как UNC6671) и ShinyHunters (также известной как UNC6661). BlackFile также разделилась на Pink и Redact после своего закрытия в апреле 2026 года. «В цепочке атаки единая скомпрометированная личность служила связующим звеном от первоначального доступа до эксфильтрации данных. Однако мы также наблюдаем то, что, по-видимому, является тактическим разделением», — заявила компания ReliaQuest . «Первый пользователь был взломан с помощью фишинга и использован для утечки данных, незаметно перечисляя и массово загружая библиотеки SharePoint в течение нескольких дней. Затем второй пользователь был взломан отдельно, часто через несколько дней или даже недель, и, по всей видимости, использовался исключительно для передачи сообщения с требованием вымогательства внутри компании через Microsoft Teams и электронную почту. Вторая учетная запись не использовалась для утечки данных. По всей видимости, она существует в рамках операции с одной целью: разместить требование о вымогательстве в собственной среде для совместной работы жертвы».
• Microsoft предупреждает об увеличении количества обновлений безопасности Windows — Microsoft предупредила клиентов о возможном резком увеличении числа обновлений безопасности для Windows, поскольку компания использует методы искусственного интеллекта, такие как MDASH, для обнаружения большего количества уязвимостей нулевого дня. «Темпы обнаружения уязвимостей меняются благодаря достижениям в области ИИ, позволяющим находить больше проблем быстрее, в большем объеме кода, с помощью новых механизмов, которые могут ускорить как обнаружение, так и анализ», — заявила компания . «Самый быстрый способ снизить уязвимость клиентов — это обнаружить проблемы до того, как злоумышленники смогут их использовать. Windows расширяет свои возможности на всей платформе, чтобы находить проблемы на ранних стадиях, ускорять инженерную работу по их устранению, усиливать проверку и предоставлять своевременные, высококачественные обновления, обеспечивающие защиту клиентов».

Инструменты кибербезопасности ​

• Caeruleus → Компания Praetorian выпустила Caeruleus, бесплатный инструментарий с открытым исходным кодом, который объединяет весь рабочий процесс тестирования Bluetooth Low Energy в один исполняемый файл на Go. Работающий на Linux/BlueZ, он позволяет тестировщикам сканировать устройства, читать или записывать дерево GATT, перехватывать уведомления, проводить фаззинг-тестирование характеристик и запускать проверки безопасности, заменяя привычный набор hcitool, gatttool и bettercap. Каждая команда может выводить JSON для написания скриптов и работы с агентами искусственного интеллекта.
• PhantomFS → Это бесплатная ловушка для Windows с открытым исходным кодом, использующая проекционную файловую систему (ProjFS) для проецирования убедительных файлов-приманок, учетных данных, финансовых показателей и ключей SSH в виртуальный каталог, который существует только в оперативной памяти и никогда не обращается к диску. В тот момент, когда злоумышленник или инсайдер открывает такой каталог, он записывает запись в журнал событий Windows и отправляет всплывающее сообщение на рабочий стол с именем файла, меткой времени и контекстом процесса, обеспечивая высоконадежное обнаружение без настройки, машинного обучения или облачных сервисов.

Предупреждение: Данный код предназначен исключительно для исследований и обучения. Он не проходил формальную проверку безопасности, поэтому не следует просто так внедрять его в рабочую среду. Изучите код, сначала протестируйте его в изолированной среде и убедитесь, что все ваши действия соответствуют законодательству.

Заключение ​

Урок этой недели прост. Каждый короткий путь, который мы использовали, чтобы двигаться быстрее, теперь — это дверь, через которую может пройти кто-то другой. Пакет, которому вы доверяли. Инструмент удалённого доступа остаётся запущенным. Искусственный интеллект, который делает всё, что ему вздумается. Мы создали эти короткие пути. Кто-то другой ими пользуется.


Так что сначала устраните срочные неполадки, закройте сессии, о которых вы забыли, и проверьте, что еще не вышло в интернет. Ничего захватывающего в этом нет. Просто к этому никто не возвращается, пока не станет слишком поздно. Увидимся на следующей неделе, если до этого ничего не сломается.

Источник