Пропасть

Российские организации атаковал бэкдор, маскирующийся под обновления ПО ViPNet.

Вредоносная программа распространяется через транспортный протокол ViPNet, имитируя легитимные пакеты обновлений. Изначально злоумышленнику нужен доступ с правами администратора к любому компьютеру из защищенной сети, но главная опасность в том, что атака может распространяться дальше по всей инфраструктуре ViPNet, компрометируя другие системы.

Бэкдор использует файл msinfo32.exe, который маскируется под системный компонент и обеспечивает загрузку вредоносного кода. Хорошая новость — сертифицированные версии продуктов ViPNet 4-го поколения при правильной настройке атаке не подвержены, а продукты 5-го поколения и 4U вообще находятся вне зоны риска.

Компания уже выпустила патчи, блокирующие возможность проведения атаки, бежим обновляться.

НеКасперский

Корни

Десятка по шкале CVSS, господа!

Критическая уязвимость в реализации SSH на базе Erlang/OTP позволяет атакующему выполнить произвольный код вообще без аутентификации.

Проблема возникает из-за неправильной обработки протокола. Злоумышленник может отправлять сервисные сигнальные сообщения вроде chanel open, exec, chanel data и прочие ДО прохождения проверки аутентификации. Это открывает путь к выполнению произвольного кода в контексте SSH-демона. А если процесс работает с правами root? Тогда атакующий получает полный контроль над системой.

Под ударом оказались устройства Cisco, Ericsson и различное IoT-оборудование. Все они активно используют библиотеку SSH Erlang/OTP в своей инфраструктуре.

Спасение уже доступно, а в крайнем случае, закройте доступ к SSH-порту правилами брандмауэра.

НеКасперский

Фантазёр

Приложение для создания историй с ИИ на iPhone слило в сеть тысячи приватных историй пользователей, включая пикантный контент для взрослых.

Исследователи обнаружили, что программа оставила открытой базу Firebase из-за неправильной настройки прав доступа. В результате более 55 тысяч пользовательских историй, 400 писем в техподдержку и электронные адреса клиентов оказались в публичном доступе. Среди утекших текстов встречались откровенно эротические произведения, создавая идеальную почву для шантажа и вымогательства.

Разработчики игнорировали сообщения о проблеме целый месяц, а база данных продолжала собирать всё новые материалы в режиме реального времени.

НеКасперский

Планировщик атак

Обнаружен ряд новых уязвимостей в планировщике задач Windows, позволяющих обходить UAC, отравлять метаданные задач и переполнять журналы безопасности.

Главный трюк заключается в манипуляции способом авторизации. Используя Batch Logon вместо Interactive Token, атакующий может заставить службу планировщика запускать процессы с максимальными привилегиями. По сути, SYSTEM начинает выполнять команды от имени пользователя без обычного запроса UAC, давая злоумышленнику доступ к системе на уровне администратора.

Кроме того, исследователи нашли возможность эксплуатировать неограниченный буфер в метаданных задач. Создавая задачи с бесконечно длинным полем Author, можно отравить записи журнала событий Windows. А если запустить 2280 таких заданий подряд, атакующий сможет полностью перезаписать стандартный 20МБ файл журнала безопасности.

Microsoft в своей манере пока не классифицирует это как уязвимости. Они считают проблемы особенностями работы служб, а не дырами в безопасности.

НеКасперский

Облачно, возможны эксплойты

Критическая уязвимость обнаружена в роутерах ASUS с активированной функцией AiCloud, позволяя удалённо выполнять код на устройстве. На этот раз оценена в 9.2 балла по CVSS.

AiCloud — это технология ASUS, превращающая ваш роутер в личное облако для доступа к файлам на подключённых USB-накопителях из любой точки мира. Недостаточный контроль аутентификации позволяет с помощью специально сформированного запроса обойти защиту и получить неавторизованный доступ.

ASUS уже подготовила обновления для прошивок.

Если обновить ваш роутер невозможно, тов качестве альтернативы, можно отключить AiCloud и любые другие службы, доступные из интернета, такие как удалённый доступ из WAN, проброс портов, VPN-сервер и подобные.

НеКасперский

Флоридабл

Флорида требует бэкдоры в шифровании соцсетей, угрожая безопасности пользователей ради «защиты детей».

Законопроект, единогласно одобренный комитетом штата, заставит соцплатформы предоставить механизм дешифрования end-to-end переписки по простой повестке правоохранителей. Также родители получат полный доступ к аккаунтам детей, а функции исчезающих сообщений для несовершеннолетних будут запрещены.

Критики, называют идею «опасной и глупой» — бэкдор невозможно создать только для хороших парней, а тем более ограничить его использование аккаунтами определённого возраста. Компаниям придётся либо отказаться от шифрования для несовершеннолетних, либо ослабить защиту для всех пользователей.

Закон развивает прошлогоднюю инициативу Флориды по ограничению соцсетей, которая до сих пор заморожена судами из-за вопросов конституционности.

Впрочем, удивляться тут нечему. Это не первый случай, когда западные государства прикрываются защитой детей, чтобы дать силовым структурам доступ к личным чатам граждан 🤷🏻‍♂️

НеКасперский

Американский папаша

40-летний гражданин США сознался в масштабной схеме мошенничества, трудоустраиваясь в американские IT-компании по поддельным документам и передавая доступ сообщникам в КНР.

Схема подставы была простой. Китайский подельник «Джон Доу» использовал липовое резюме с 16-летним опытом разработки и корочкой бакалавра для трудоустройства. После успешного видеоинтервью американец получал устройства и PIV-карты для доступа к федеральным системам, устанавливал ПО для удалёнки и передавал их в Шэньян. Среди проектов оказалась разработка софта для управления конфиденциальной информацией национальной безопасности.

Всего за три года мошенники обманули 13 компаний на $970 тысяч. Горе работничку светит до 20 лет тюрьмы, приговор огласят в августе 2025-го.

Ранее подобный аутсорс был распространён только среди северокорейцев, сейчас же практика перешла и к их старшим братьям.

НеКасперский

Минус два

CISA прощается с двумя важными инструментами для поиска и обнаружения угроз. От Censys и VirusTotal отказываются, из-за грядущих сокращений и реорганизации.

Сотням спецов из американского агентства по кибербезу CISA пришло соответствующее уведомление. Использование Censys прекратили еще в марте, а с 20 апреля отключат и гугловский VirusTotal. Говорят, ищут альтернативы, чтобы минимизировать ущерб операциям.

Параллельно с этим подрядчики из Nightwing и Peraton уже сдали свои рабочие телефоны. Похоже, это часть большой перестройки агентства, затеянной администрацией Трампа для оптимизации и фокусировки на защите критической инфраструктуры.

Пока CISA уверяет, что найдет замену, остаются вопросы, как такие шаги повлияют на реальные возможности по отлову угроз.

НеКасперский

Цифровая сортировка

Palantir за $30 млн создаёт для американской миграционной службы систему ImmigrationOS, которая будет автоматически решать, кого депортировать в первую очередь.

Новая платформа заменит прежние решения компании и расширит возможности агентства ICE США. Состоящая из трёх модулей, система будет сама приоритизировать цели для депортации, отслеживать «самодепортацию» в режиме реального времени и оптимизировать весь цикл выдворения амигосов с территории свободной и демократичной 🦅🇺🇸🍔

Особый упор сделан на выявление нарушителей визового режима, членов преступных группировок и тех, кто превысил срок пребывания в стране.

Разработка должна завершиться к сентябрю 2025 года, а контракт продлится минимум до 2027-го. ICE уже назвала проект «срочным и необходимым» для выполнения указов президента Трампа по ускоренной депортации мигрантов.

Если кто-то думает, что на западе к личной жизни относятся как-то по-другому, этот пост для вас ✨

НеКасперский

Сертификаты всем

В удостоверяющем центре SSL.com найдена уязвимость, позволявшая получить сертификаты для чужих доменов через обычный доступ к email.

Исследователь показал, как можно получить сертификат для домена через простую манипуляцию с DNS-записями. В основе лежит баг в системе проверки домена при подтверждении через DNS TXT. Во время валидации метод ошибочно маркировал домен из email-адреса как проверенный, даже если запрашивался совсем другой домен.

Это открывало возможность получать сертификаты для популярных email-сервисов, например gmail.com, или целенаправленно атаковать корпоративные домены через компрометацию почты сотрудников.

Ещё раз, вы могли получить ЛЮБОЙ корневой сертификат просто потому что ваш email с верифицированным доменом и не важно каким. Хоть @mail.ru, хоть @gmail.com, сертификат ваш.

SSL.com отключил проблемный метод проверки и отозвал 11 выданных сертификатов. Полный отчет о расследовании обещают выкатить до 2 мая.

НеКасперский

Хитрый лов

Приложение умного дома умудрилось обмануть уже более 1000 человек, украв порядке 12 млн рублей.

Такая вот необычная часть компании мошенников распространилась по всей России. Злоумышленники публикуют заниженные на 20-40% предложения аренды в новых ЖК с закрытой территорией. При назначении встречи сообщают, что для прохода нужно заранее зарегистрироваться в «Умном доме». Отправляют фишинговую ссылку, где запрашивают подтверждение личности через BankID с вводом данных карты и кодов из СМС. На Android устанавливают троян, перехватывающий платёжные данные и сообщения.

Схема действует с марта 2025 года, а мошенники активны во всех крупных городах — от Москвы до Новосибирска.

НеКасперский

Безопасность?

Критическая уязвимость в очень популярном ML фреймворке PyTorch позволяет выполнить код удалённо.

Оказалось, что даже при использовании флага weights_only=True в torch.load(), который считался безопасным, злоумышленник всё ещё может подсунуть вредоносный файл модели и сделать RCE. Да, тот самый флаг, на который многие полагались для защиты от подобных атак. Уязвимость затрагивает версии PyTorch <=2.5.1 и получила оценку по CVSS в 9.3 балла.

Последствия без патча могут быть серьёзными — от кражи данных до полного захвата системы, особенно в облачных AI-средах.

НеКасперский

SIMфония

Крупнейший мобильный оператор Южной Кореи SK Telecom сообщил об утечке данных USIM своих клиентов после атаки вредоносного ПО.

Компания обнаружила вредонос в субботу вечером, когда большинство сотрудников отсутствовало на рабочих местах. В руки злоумышленников попала информация с USIM-карт, включающая идентификаторы абонентов, ключи аутентификации и другие чувствительные данные. Такие сведения могут использоваться для слежки, SIM-свопинга и других типов атак.

SK Telecom утверждает, что пока нет подтверждённых случаев использования утекших данных. Компания усилила защиту от подмены USIM и аномальных попыток аутентификации, а также предложила клиентам бесплатный сервис защиты от переноса номера.

Несмотря на масштаб, пока что ни одна хакерская группировка не взяла на себя ответственность за атаку 🤷‍♂️

НеКасперский

Диагноз утечка

Американская сеть больниц Yale New Haven Health сообщила о взломе, затронувшем 5,5 миллионов пациентов — это крупнейшая медицинская утечка 2025 года.

Киберпреступники проникли в сеть 8 марта и похитили персональные данные, включая ФИО, адреса, телефоны, почты, номера социального страхования и медицинские идентификаторы. При этом медицинские карты и финансовая информация по неведомым причинам остались нетронутыми.

Организация наняла Mandiant для расследования инцидента, а пострадавшим предлагает бесплатный мониторинг кредитной истории. Руководство больницы утверждает, что атака никак не повлияла на оказание медицинской помощи.

Пациенты уже подали коллективные иски против медучреждения, обвиняя его в халатности и несоблюдении мер безопасности.

НеКасперский

Пробой барьера

Критическая уязвимость SAP NetWeaver используется для взлома корпоративных и государственных систем.

Брешь с максимальной оценкой в 10 баллов по CVSS позволяет неавторизованным злоумышленникам загружать и выполнять вредоносный код.

Всё дело в уязвимом компоненте Visual Composer MetadataUploader, позволяющем без аутентификации загружать вредоносные JSP-файлы в общедоступные директории. В исследованных случаях атакующие размещали шеллы по пути j2ee/cluster/apps/sap.com/irj/servletjsp/irj/root/, получая полный контроль над системой. После проникновения хакеры применяют инструменты Brute Ratel и технику Heaven's Gate для закрепления в системе и обхода защиты.

Особенно тревожно, что почти весь мировой финтех работает на SAP — это своего рода западный аналог 1С. Отечественный бизнес, целиком сидевший на SAP, после прекращения поддержки в 2022 году либо мигрировал на 1С, либо остался на необновляемой версии, то есть под серьезной угрозой.

НеКасперский

Атака под ключ

Новый фишинговый набор SessionShark позволяет обойти многофакторную аутентификацию Microsoft Office 365 даже низкоквалифицированным мошенникам.

В SlashNext сообщили, что SessionShark распространяется в даркнете под видом «этического» инструмента для обучения. На самом же деле он использует MITM, перехватывая цифровые ключи для доступа к системе без повторного ввода пароля.

С помощью такого набора атакующие могут захватить контроль над учётной записью жертвы, получить доступ к конфиденциальным данным, включая логины и сеансовые файлы cookie.

Одной из особенностей SessionShark является панель ведения журнала с интеграцией Telegram-бота для быстрой отправки уведомлений о взломах. Для маскировки инфраструктуры хостинга используется Cloudflare.

Несмотря на наличие системы MFA и других защитных механизмов, экосистема Microsoft далеко не в первый раз подвергается подобным угрозам. Достаточно вспомнить уязвимости в планировщике задач Windows и баги в Office 365.

НеКасперский

Водяная яма

Северокорейская Lazarus более года следила за организациями из Южной Кореи в ходе операции SyncHole.

В рамках кампании атакующие использовали скомпрометированные южнокорейские сайты — тактику Watering Hole для заражения устройств зловредами ThreatNeedle и SIGNBT.

После этого они экспулатировали уязвимость в ПО государственном корпоративном файлообменнике Nnorix Agent. Там же исследователи позже выявили ранее неизвестную брешь, с помощью которой хакеры могли осуществлять загрузку произвольных файлов.

Так, ThreatNeedle обнаружили в корпоративной сети одной южнокорейской организации. Вредонос запускался внутри легитимного процесса SyncHost.exe, который является частью ПО Cross EX для защиты браузеров.

Таким способом атакованы минимум шесть компаний из сфер ИТ, финансов, телекоммуникаций и др. Кампания длилась с ноября 2024 по февраль 2025.

Ранее Lazarus была замечена за кражей активов из ByBit. Похоже, «охотники за головами» плохо справляются 🤔

НеКасперский

К вам гости

В даркнете оказались скомпрометированные документы порядка семи управляющих компаний Санкт-Петербурга.

По данным DLBI, хакер получил доступ к сведениям в формате MS Excel, Word и PDF. Украденные файлы включают в себя:

• ФИО
• Номер телефона
• Адрес
• Заявки в УК

В дампе упоминаются названия таких организаций, как Северный стиль, Эрмитаж, Гринлэнд, СтройЛинк сервис, Правило комфорта, Зелёный проспект и др.

Актуальность скомпрометированной информации датируется 18 апреля 2025 года.

По словам хакера, документы удалось украсть из сервера онлайн-проекта КВАДРО.РУ для автоматизации жилищно-коммунального хозяйства.

Теперь за вами следят не только соседи 🤫

НеКасперский

Ведрошпион

Хакеры следят за российскими военными с помощью модифицированной версии навигатора Alpine Quest.

Зловред под видом бесплатного обновления для Android распространялся через Telegram-каналы. Там публиковались ссылки на установку и прямой APK-файл с вредоносным кодом.

После установки ПО запрашивает доступ к контактам, геолокации и хранилищу. При получении разрешений троян собирает информацию, сливает её на управляющий сервер и в Telegram-бот хакеров.

Данные сохраняются в отдельный файл. Когда его вес превышает 100 МБ, он автоматически удаляется и заменяется новым. Такой способ помогает накапливать сведения без привлечения внимания.

Больше всего шпионы заинтересованы в логах маршрутов Alpine Quest и личных документах, которые пересылаются через Telegram или WhatsApp. Для кражи этих файлов троян может загрузить дополнительные модули.

Совет один — скачивать приложения из Google Play. Однако, как показывает горький опыт, это не даёт никаких гарантий 🤷🏻‍♂️

НеКасперский

Невидимка

Раскрыли серьезную уязвимость в инструментах безопасности Linux. На этот раз все дело в механизме io_uring, полностью обходящем мониторинг системных вызовов.

Асинхронный интерфейс io_uring позволяет приложениям выполнять различные действия в обход традиционных syscall. Из-за этого большинство инструментов безопасности, включая Falco, Tetragon и Microsoft Defender, оказались слепы к вредоносной активности.

Исследователи создали POC-руткит, работающий полностью через io_uring. Их эксперименты показали, что в то время как классические вредоносы легко блокируются, руткит на io_uring остается невидимым для большинства систем мониторинга.

Проблема затрагивает практически все инструменты безопасности, использующие eBPF для наблюдения за системными вызовами. Хотя некоторые вендоры уже выпустили исправления, отрасль в целом пока остается уязвимой к таким атакам.

НеКасперский