🥷 Более половины объявлений в даркнете о продаже первоначального доступа ❗️нацелены на малый и средний бизнес

Эксперты Kaspersky Digital Footprint Intelligence проанализировали сотни публикаций, опубликованных в даркнете за январь-апрель 2026 года и аналогичный период в 2025 году, в которых предлагалось получить первоначальный доступ к корпоративным системам.

📊Согласно исследованию, более чем в половине объявлений за 2026 год речь шла о небольшом бизнесе: в 40% сообщений — о малых компаниях, а в 20% — о средних.

«Хотя в обнаруженных публикациях чаще упоминались малые компании, угроза для средних предприятий не менее серьёзна, поскольку они более выгодная мишень для злоумышленников с финансовой точки зрения. При этом у них меньше ресурсов на обеспечение кибербезопасности по сравнению с крупным бизнесом, поэтому они не так хорошо защищены. А распространённое мнение, что малые и средние компании не интересны злоумышленникам — это заблуждение. Независимо от размера бизнеса, предпринимателям необходимо уделять внимание безопасности: изучать ландшафт киберугроз, соблюдать ИБ-политики, использовать защитные решения и повышать цифровую грамотность сотрудников»

— комментирует Екатерина Белобородова, аналитик Kaspersky Digital Footprint Intelligence.

✋ @Russian_OSINT

🖥 Компании NVIDIA и Palantir интегрируют открытые ИИ-модели NVIDIA Nemotron в «Суверенную операционную систему ИИ» от Palantir

Цель сотрудничества — предоставление государственным ведомствам США инструментов для развертывания специализированных моделей в изолированных от внешних сетей средах (air-gapped) на базе ускоренных вычислений NVIDIA.

Как сообщается в блоге NVIDIA, технологический стек Palantir, включающий AIP, Ontology, Foundry и Apollo, обеспечивает управление данными и контроль доступа. Архитектура позволяет заказчикам сохранять право собственности на веса моделей и дообучать их на собственных данных.

Государственные ведомства работают с конфиденциальной информацией, использование которой в закрытых коммерческих ИИ-моделях связано с рисками для безопасности данных и потенциально может нарушать законы о конфиденциальности. К таким сферам относятся торговля, энергетика, здравоохранение, сельское хозяйство, образование и транспорт, а также национальная безопасность и критическая инфраструктура.

Открытые ИИ-модели позволяют сделать технологии искусственного интеллекта передового уровня широко доступными, гарантируя прозрачность, контроль за кастомизацией и соответствие национальным интересам 🇺🇸США.

Соучредитель и генеральный директор Palantir Technologies Алекс Карп заявил, что этот подход позволяет государственным органам задействовать весь потенциал LLM и полностью исключает миграцию проприетарных данных в веса закрытых ИИ-моделей. Основатель и генеральный директор NVIDIA Дженсен Хуанг добавил, что открытые ИИ-модели формируют защищенную и полностью контролируемую основу для критически важных государственных систем.

✋ @Russian_OSINT

🏦Набиуллина: все готово к широкому применению цифрового рубля с 1 сентября

Как пишут Ведомости, к широкому использованию цифрового рубля с 1 сентября все готово. Об этом заявила председатель Банка России Эльвира Набиуллина прессе на Финансовом конгрессе регулятора.

Цифровой рубль – это цифровая форма российской нацвалюты, которая будет выпускаться в дополнение к существующим формам денег. В конечном счете у рубля официально будут три равнозначные формы: наличная (банкноты и монеты в кошельках), безналичная (деньги на счетах в банках) и цифровая.

Выпуском цифровых рублей будет заниматься ЦБ на спецплатформе. Регулятор лично отвечает за открытие, приостановку и закрытие цифровых счетов, а также самостоятельно проводит операции с цифровым рублем на платформе, контролирует соблюдение ее правил.

✋ @Russian_OSINT

К июню 2026 года 97,9% сотрудников компании OpenAI используют Codex в качестве основного рабочего инструмента.

В августе 2025 года этот показатель составлял всего около 40%.

✋ @Russian_OSINT

Канал 🔨SecAtor пишет интересное:

Исследователи протестировали 444 приложения чат-ботов с ИИ для iPhone и пришли к выводу, что 282 из них раскрывали доступ к ИИ через свой сетевой трафик.

Во многих случаях путь к источнику данных можно было увидеть, просто проанализировав отправленные приложением данные: открытый ключ API, многоразовый токен или серверную часть, принимавшую запросы вообще без ключа.

При получении доступа к этой функции, злоумышленник сможет отправлять запросы на создание моделей с учетной записи разработчика, а разработчик за это оплатит счет. Через три месяца после того, как исследователи предупредили разработчиков, проблему исправили лишь 28%.

Работа исследователей из Университета Уэйк Форест - это первый углубленный анализ этой проблемы на iOS. При этом достаточно удивительно, насколько мало усилий потребовалось для реализации доступа.

Команда использовала собственный инструмент LLMKeyLens, который отслеживает трафик приложения и извлекает учетные данные по мере их передачи. Никакого джейлбрейка, никакого взлома приложения.

Ключ - это секретный код, позволяющий приложению обращаться к таким сервисам, как OpenAI или Google Gemini. Достаточно встроить его в приложение, и он будет доступен при каждом запросе, который отправляет приложение.

Выявленные 282 чат-бота были структурированы в следующие подгруппы:

- Ключи в открытом виде (54 приложения): ключ отправляется в открытом виде и может быть прочитан из одного перехваченного запроса.

- Ключ не требуется (92): приложение направляет запросы через сервер, который отвечает любому пользователю, без проверки того, кто задает запрос. Открытый ретранслятор для платного аккаунта ИИ.

- Повторно используемые токены (136): приложение выдает временные токены доступа вместо исходного ключа, что считается более безопасным подходом, но токены просачиваются в тот же трафик и обычно остаются действительными на момент перехвата.

Для 28 из 54 приложений, использующих текстовые ключи, тот же запрос также раскрывал скрытую системную подсказку приложения - инструкции, определяющие действия помощника и принцип работы продукта.

Утечки затронули как минимум десять поставщиков ИИ, причем OpenAI был наиболее распространенным, и охватили 13 категорий приложений.

Наибольшую группу составили приложения для повышения производительности; приложения для здоровья и фитнеса имели самый высокий уровень утечек.

Примечательно, что финансовые и медицинские приложения не допустили утечек. Большинство пострадавших приложений были небольшими, но не все: одно из них имело более двух миллионов пользовательских оценок.

Украденные ключи ИИ лежат в основе LLMjacking, когда злоумышленники используют чужие ключи для получения бесплатного доступа к моделям.

Так, Sysdig подсчитала, что в худшем случае  украденные учетные данные могут обходиться более чем в 46 000 долл. в день в виде расходов на ИИ.

Исследователи уведомили всех 282 разработчиков и подождали три месяца. Только 28% из них явно исправили проблему.

Еще 23% оставались полностью открытыми; утекший доступ работал. Остальные отключились, стали недоступны или выдавали ошибки.

Хуже всего обстояли дела с приложениями, использующими токены доступа: одно популярное приложение, набравшее более 100 000 оценок, установило срок действия своего токена доступа на 2125 год, то есть на сто лет.

В другом приложении часовой токен продолжал работать спустя 128 дней после истечения срока его действия.

🤕В США экстрадирован 🇺🇸🇪🇪19-летний молодой человек, которого обвиняют в участии в хакерской группировке Scattered Spider.

Злоумышленник c паспортом США и Эстонии известен в сети под никами Bouquet, Spencer и Jordan. В апреле 2026 года финские власти задержали его в аэропорту Хельсинки при попытке сесть на рейс в 🇯🇵Японию.

Арест провели на основании «красного уведомления» Интерпола (Interpol). Обвиняемый предстал перед федеральным судом в Чикаго и был оставлен под стражей. Ему предъявлены обвинения в сговоре, мошенничестве и несанкционированном доступе к компьютерным системам.

В судебных документах Министерства юстиции США (DOJ) упоминается участие обвиняемого как минимум в четырех инцидентах, два из которых описаны подробно:

1️⃣ Взлом крупного ритейлера ювелирных изделий в мае 2025 года. Злоумышленники позвонили в ИТ-службу поддержки компании через номера Google Voice. Они выдали себя за сотрудников и запросили сброс учетных данных, включая пароли и мобильные устройства для многофакторной аутентификации. С помощью этого фишинга хакеры скомпрометировали 3 учетные записи, 2 из которых принадлежали администраторам с высокими привилегиями. Злоумышленники заявили о краже 100 ГБ данных и потребовали выкуп в размере $8 млн в криптовалюте. Ритейлер отказался платить и успешно ликвидировал угрозу, однако потерял не менее $2 млн из-за простоя бизнеса и расходов на расследование.

2️⃣ Взлом онлайн-платформы коммуникаций в марте 2023 года. Питер Стоукс совершил проникновение в сеть компании, когда ему было 16 лет. Инцидент также привел к вымогательству крупных сумм выкупа.

Хакерская группировка Scattered Spider также известна ИБ-специалистам под названиями 0ktapus, Octo Tempest, Scatter Swine, UNC3944 и Muddled Libra. Она появилась в 2022 году. В её состав входят преимущественно молодые люди из 🇺🇸США и 🇬🇧Великобритании.

По данным ФБР (FBI), группировка причастна более чем к 100 взломам корпоративных сетей. Общая сумма полученных ими выкупов превышает $100 млн, а сопутствующий ущерб оценивается еще в миллионы долларов. Среди известных жертв числятся Caesars, MGM Resorts, Riot Games, DoorDash, Reddit, MailChimp, Twilio, Allianz Life, Транспортное управление Лондона (TfL), а также WestJet и Jaguar Land Rover (JLR).

Для компрометации целей хакеры используют комбинацию методов:

▪️Социальная инженерия
▪️СМС-фишинг для кражи учетных данных
▪️MFA-бомбардировка с частым использованием эмулятора Genymobile Android
▪️Развёртывание шифровальщика DragonForce при атаках на розничные компании Великобритании

Расследование дела Питера Стоукса проходит в рамках продолжающейся кампании ФБР под названием Операция «Прилив» (Operation Riptide). Помощник директора киберотдела ФБР Бретт Лезерман подчеркнул, что ведомство продолжит привлекать киберпреступников к ответственности вне зависимости от места их нахождения. За прошлый год американцы сообщили о потерях от киберпреступлений на общую сумму более $20 млрд, что на 26% превышает показатели предыдущего периода.

✋ @Russian_OSINT

🚨В правительстве создали оперштаб по борьбе с 🎩кибермошенничеством

Как сообщает Интерфакс, правительство утвердило постановление о создании оперативного штаба по борьбе с кибермошенничеством, его возглавил вице-премьер Дмитрий Григоренко, сообщили в аппарате зампреда.

"Задача оперштаба - объединить усилия государства и бизнеса для противодействия онлайн-преступникам. К его работе подключились федеральные ведомства, в том числе правоохранительные, Банк России, а также бизнес - операторы связи, банки, цифровые платформы"

Штаб создан как подкомиссия правительственной комиссии по цифровому развитию, использованию информационных технологий для улучшения качества жизни и условий ведения предпринимательской деятельности, уточнили в аппарате вице-премьера. Полное название новой структуры - подкомиссия по развитию технологий противодействия правонарушениям, совершаемым с использованием информационных и коммуникационных технологий.

Фото: Петр Ковалев / ТАСС

✋ @Russian_OSINT

⭕️ OpenAI предложила администрации Трампа долю в размере 5%

Генеральный директор OpenAI Сэм Альтман предложил передать правительству США долю в размере 5% в своей компании, которая сейчас оценивается в $852 млрд. Инициатива призвана снизить политическое давление и заручиться поддержкой администрации президента Дональда Трампа.

Переданные государству акции планируют направить в специальный фонд по аналогии с Постоянным фондом Аляски, который инвестирует нефтяные доходы штата в ценные бумаги и выплачивает дивиденды местному правительству и жителям.

Руководство OpenAI предлагает ввести аналогичное правило для остальных крупных разработчиков. В список могут войти Anthropic, Google и Meta*, однако пока неизвестно, согласятся ли эти компании на такой шаг.

Сэм Альтман уже провел активные переговоры с президентом Дональдом Трампом, министром торговли Говардом Лютником и министром финансов Скоттом Бессентом. Кроме того, глава OpenAI встретился с сенатором Берни Сандерсом, который предлагает передать государству около 50% акций каждой американской ИИ-компании через суверенный фонд.

Пока эти переговоры находятся на начальной концептуальной стадии. Для реализации подобного плана может потребоваться акт Конгресса США.

*Деятельность компании Meta (владеет Facebook, Instagram, WhatsApp) запрещена в РФ и признана 🏴‍☠️экстремистской.

✋ @Russian_OSINT

😦 Маркетинг уровня "Бог". (канал с 2.7 млн подписчиков)

✋ @Russian_OSINT

✋ @Russian_OSINT

🈁 Anthropic пытается перекрыть доступ китайским компаниям к своим ИИ-моделям

FT пишет, что классическая игра в «кошки-мышки» между американскими разработчиками передовых ИИ-технологий и китайским технологическим сектором продолжается.

Компания Anthropic начала активно перекрывать каналы, через которые компании из 🇨🇳Китая получают доступ к её ИИ-моделям в обход официальных географических ограничений. В статье отмечается, что усилия по получению доступа к Claude из Китая иллюстрируют сохраняющуюся ценность передовых американских ИИ-продуктов для китайских инженеров, несмотря на растущие ограничения.

🕵️Утверждается, что есть несколько основных схем обхода ограничений:

▪️Зарубежные дочерние компании. Компания Ant Financial предоставляла сотрудникам корпоративные аккаунты через внутреннюю сеть, которая подключена к её сингапурскому подразделению.

▪️Облачные провайдеры. Корпорация Microsoft продавала доступ к API через Azure компаниям с юридическими лицами в Сингапуре. Это позволяло инженерам из материкового 🇨🇳Китая работать с моделями через внутренние сети своих компаний. Microsoft заявила, что оказывает Anthropic поддержку в обеспечении соблюдения правил.

▪️VPN. ByteDance не содействует доступу к Claude напрямую, но в этом году якобы была введена схема компенсации расходов инженеров на личные подписки, к которым они получают доступ через виртуальные частные сети.

▪️Транзитные сервисы. Запросы перенаправлялись через зарубежные промежуточные серверы, которые принимали запросы из 🇨🇳Китая и передавали их в Claude от имени иностранных аккаунтов. Однако крупные китайские ИИ-группы избегают таких посредников, поскольку операторов сервисов подозревают в сохранении или перепродаже промптов конкурентам.

Инструменты Anthropic для написания кода пользуются особой популярностью, поскольку их результаты могут использоваться для дистилляции — обучения более компактных моделей.

Подобные методы обхода не нарушают законы 🇺🇸США или законы 🇨🇳Китая. В Пекине запрещают использовать зарубежные ИИ-модели, размещенные в дата-центрах за пределами страны, для создания приложений для конечных пользователей из-за ограничений на трансграничную передачу данных, но этот запрет не распространяется на внутренние исследования и разработки.

Однако эти действия нарушают условия обслуживания Anthropic. Представители компании подчеркивают, что Anthropic остается единственной компанией в сфере передового ИИ, которая ограничивает продажи любым структурам под контролем КНР, включая их зарубежные филиалы.

Отдельно подчёркивается, что Anthropic не стесняется 😎"обновлять свои инструменты", которые могут находить тех, кто пытается обойти запреты. 🗺Изучаются метаданные, включая установленный на компьютере пользователя часовой пояс, чтобы определять реальное местоположение инженера из Китая.

✋ @Russian_OSINT

🇩🇪Немецким спецслужбам могут дать ещё больше полномочий для проведения 🥹киберопераций за рубежом

В Германии подготовили законопроект, который предоставляет спецслужбам страны полномочия для проведения активных киберопераций и саботажа систем иностранных злоумышленников. Об этом сообщает агентство Reuters.

Реформа представляет собой масштабный пересмотр ограничений, наложенных на немецкую разведку после Второй мировой войны. До сих пор органы безопасности страны были жестко ограничены в полномочиях, чтобы не допустить концентрации чрезмерной власти внутри государства, и в основном занимались только наблюдением, сбором информации и анализом.

📖 Главные изменения законопроекта:

🎩Активная кибероборона. Немецкие спецслужбы смогут проникать в ИТ-системы атакующих группировок, копировать или удалять их данные, а также выводить из строя цифровые инструменты, которые иностранные государства используют для проведения масштабных киберопераций.

🧠 Информационная война. Спецслужбы получат официальное право намеренно распространять дезинформацию для противодействия внешним угрозам.

📖Сбор данных у бизнеса. Телекоммуникационные компании, цифровые платформы, финансовые посредники и транспортные операторы будут обязаны передавать данные по секретным правительственным запросам. За отказ компаниям грозят выездные проверки и штрафы до €1 млн.

🦠 Использование шпионского ПО. Документ вводит новые четкие правила для проведения цифровых обысков и использования государственного шпионского ПО для перехвата телекоммуникаций.

Отмечается, что разработка законопроекта стала ответом Министерства внутренних дел Германии на якобы растущие гибридные и киберугрозы, которые Берлин связывает в первую очередь с действиями 🇷🇺России.

Для контроля за столь жёсткими мерами надзор будет централизован в рамках Независимого совета по контролю (Independent Control Council).Он заменит несколько разрозненных ведомств. Реформа также уточняет правила работы с конфиденциальными информаторами. В исключительных случаях для раскрытия тягчайших преступлений спецслужбам разрешат привлекать к сотрудничеству лиц в возрасте от 16 лет.

Федеральный канцлер Фридрих Мерц и президент Федеральной разведывательной службы (BND) Мартин Йегер объявили о необходимости коренного изменения курса. Разведка должна превратиться из аналитического органа в оперативную службу, способную самостоятельно подавлять угрозы.

Для работы 👮BND могут разрешить следующее:

▪️Проводить кибероперации, удалять данные и манипулировать информацией на иностранных серверах, включая вывод денежных средств из криптовалютных кошельков злоумышленников.

▪️Использовать искусственный интеллект и системы распознавания биометрических данных для анализа информации.

▪️ Существенно увеличить сроки хранения данных. Спецслужба сможет хранить содержание зарубежных коммуникаций до 6 месяцев, а метаданные, то есть информацию о фактах и участниках соединений, разрешат удерживать до 15 месяцев. Для сравнения указывается опыт Франции, где содержание хранится до 4 лет, и Великобритании, где данные собирают на любой необходимый спецслужбам срок.

🤔При наступлении «особой ситуации», когда возникает конкретная опасность для европейской безопасности, BND получит право на проведение полноценных диверсий за рубежом. В качестве примера приводится саботаж на иностранном заводе по производству 🤖дронов, если спецслужбе достоверно известно, что эти аппараты будут использованы для атаки на европейские объекты.

Законопроект проходит стадию внутренних согласований и пока не принят немецким парламентом. Ранее процесс одобрения сильно затормозился из-за внутреннего конфликта в кабинете министров. Министр внутренних дел Александер Добриндт заблокировал реформу внешней разведки BND, так как требует одновременно расширить права и для внутренней контрразведки BfV.

Правительство рассчитывает завершить внутриправительственные согласования и внести законопроект в Бундестаг ещё до начала летних парламентских каникул, которые стартуют после 10 июля 2026 года.

✋ @Russian_OSINT

🇺🇸 ФБР и 🌐Google ликвидировали резидентную прокси-сеть NetNut и ботнет Popa

ФБР совместно с Отделом уголовных расследований Налоговой службы США, технологической компанией Google, а также ИБ-исследователями из Lumen и Shadowserver провели крупную операцию по ликвидации инфраструктуры резидентной прокси-сети NetNut и связанного с ней ботнета Popa. [1,2].

Платформа NetNut позиционировалась как легальный коммерческий сервис для сбора данных, но ее инфраструктура скрытно строилась на основе ботнета Popa. Данный ботнет насчитывал не менее 2 млн скомпрометированных устройств по всему миру.

Разработчики неофициальных прошивок для дешевых Android-приставок внедряли в свои продукты инструменты ботнета Popa. Параллельно с этим, по данным компании Spur, SDK других коммерческих прокси-провайдеров были обнаружены в 42,5% проанализированных ими приложений для операционной системы webOS от LG, и почти в 27% проверенных программ для системы Tizen от Samsung.

После установки таких программ домашние телевизоры и приставки пользователей без их ведома превращались в постоянно активные прокси-узлы. Несанкционированный сетевой трафик проходил через домашние IP-адреса обычных пользователей.

Мощности сети NetNut активно перепродавались другим прокси-провайдерам, которые предлагали их клиентам под собственными торговыми марками.

Сеть NetNut пользовалась огромным спросом среди киберпреступников, поскольку позволяла эффективно маскировать источник вредоносной активности. Только за одну неделю в июне 2026 года группа анализа угроз Google зафиксировала 316 различных группировок злоумышленников, применявших предполагаемые выходные узлы NetNut, включая киберпреступные и шпионские группы.

Через скомпрометированные домашние устройства злоумышленники выполняли целый спектр вредоносных действий:

▪️Скрывали свои реальные IP-адреса при взаимодействии со своей управляющей инфраструктурой.
▪️️Проводили атаки методом распыления паролей* (password spray).
▪️Занимались массовым сбором контента, рекламным мошенничеством и захватом аккаунтов.
▪️Проникали во внутренние домашние сети пользователей, получая доступ к соседним приватным устройствам за сетевым экраном.
▪️Развертывали модификации вредоносного ПО Mirai для создания мощных DDoS-ботнетов.

Распыление паролей – это один из методов брутфорса, который предполагает использование одного и того же пароля для взлома нескольких учетных записей. Испытав комбинации с одним паролем, злоумышленник переходит к другому. Такие атаки нередко бывают успешными, поскольку многие пользователи защищают свои аккаунты простыми паролями, которые несложно подобрать, например password, 123456 и так далее.

В ходе совместной операции правоохранительные органы изъяли сотни доменов NetNut. По наблюдениям ИБ-сообщества, изъятие затронуло в первую очередь домены в зоне .com, а домен в зоне .io пока остается активным

Компания Google заблокировала учетные записи и сопутствующие облачные сервисы, которые админы NetNut использовали для работы C2-серверов. Защитная система Google Play Protect начала автоматически предупреждать пользователей и отключать приложения, содержащие опасные SDK.

Юридический консультант израильской компании Alarum Technologies, владеющей платформой NetNut, подтвердил факт расследования и заявил, что компания полностью сотрудничает с правоохранительными органами для привлечения виновных к ответственности.

Популярность NetNut получила дополнительный мощный импульс после того, как в январе 2026 года компания Google разгромила инфраструктуру ее главного конкурента — прокси-сети IPIDEA, что заставило злоумышленников массово мигрировать на доступные альтернативы.

✋ @Russian_OSINT

🇵🇱Польша стала третьей европейской страной и одной из немногих в мире, получивших доступ к GPT-5.5-Cyber

Польский научно-исследовательский институт NASK и работающая в его составе команда CERT Polska получили доступ к специализированной ИИ-модели GPT-5.5-Cyber от компании OpenAI. Инструмент предоставлен для оперативного выявления киберугроз и защиты критической инфраструктуры.

Как подчеркивают эксперты CERT Polska, этот доступ особенно важен, поскольку поиск серьезных уязвимостей требовал и до сих пор требует редких специализированных знаний. Для этого необходим глубокий анализ сложных систем, что отнимало много времени. Теперь такие модели, как GPT Cyber, могут сканировать большие базы кода, анализировать векторы атак и выявлять уязвимости, которые могли бы остаться незамеченными. Для таких команд, как работающий в структуре NASK CERT Polska, это бесценный инструмент.

Эксперты получат расширенный доступ через программу Government Trusted Access for Cyber.

«Мы гордимся возможностью сотрудничать с нашими партнерами в Польше, чьи глубокие технические знания и богатый опыт противодействия вредоносным угрозам в киберпространстве делают их ключевыми партнерами в укреплении безопасности секторов критической инфраструктуры»

— отмечает руководитель направления политики OpenAI в регионе EMEA (Европа, Ближний Восток и Африка) Том Дафф-Гордон.

😆Daybreak — это инициатива, призванная помочь защитникам опережать злоумышленников в использовании искусственного интеллекта в сфере ИБ. GPT-5.5-Cyber будет использоваться для анализа вредоносного ПО, задач в области компьютерной криминалистики и поиска уязвимостей. Особое внимание уделяется ускорению всего цикла обнаружения и устранения уязвимостей в сотрудничестве с ведущими мировыми организациями индустрии ИБ в качестве партнеров.

✋ @Russian_OSINT

🇮🇱 Член комитета 🇪🇺 Европарламента по расследованию использования шпионского ПО сам стал жертвой Pegasus

ИБ-исследователи из Citizen Lab опубликовали отчет от 3 июля 2026 года, где сообщается, что мобильный телефон бывшего депутата Европейского парламента Стелиоса Кулоглу был неоднократно взломан с помощью шпионского ПО Pegasus. Это случилось в тот период, когда политик входил в состав специального комитета PEGA, расследовавшего злоупотребления этим же коммерческим шпионским ПО в Европе.

ИБ-исследователи с высокой степенью уверенности выявили как минимум 2 случая успешного заражения его устройства. Первое произошло около 21 октября 2022 года, а второе было зафиксировано 6–7 марта 2023 года.

Атака была реализована через zero-click эксплойт под названием PWNYOURHOME. Для взлома не требовалось действий со стороны пользователя, так как эксплойт задействовал уязвимость в функциях HomeKit и компоненте MessagesBlastDoorService на устройствах под управлением операционной системы iOS 15.5.

Первое заражение в октябре 2022 года:
Телефон был скомпрометирован в тот момент, когда Стелиос Кулоглу находился в больнице. В этот же день его навещал греческий журналист Танасис Кукакис, который ранее пострадал от другого шпионского ПО под названием Predator. Взлом совпал по времени с подготовкой комитета к инспекционным поездкам в 🇬🇷Грецию, 🇨🇾Кипр и 🇪🇸Испанию, а также к публикации первого проекта отчета. Злоумышленники могли получить доступ к закрытым обсуждениям, переписке членов комитета и к конфиденциальной медицинской информации депутата.

Второе заражение в марте 2023 года:
Атака зафиксирована во время поездки Стелиоса Кулоглу из Афин в Брюссель. В эти дни члены комитета вели интенсивные переговоры по согласованию финального текста итогового отчета. Одновременно с этим докладчик комитета PEGA Софи ин ’т Велд находилась с миссией в 🇬🇷Греции в составе делегации смежного комитета LIBE, где допрашивала местных чиновников по поводу национального скандала с прослушиванием.

В Citizen Lab отмечают несколько важных деталей:

▪️Нет никаких указаний на то, что за взломом стоит правительство 🇬🇷Греции. Греческие спецслужбы использовали шпионскую программу Predator от компании Intellexa, а технических индикаторов наличия Pegasus у греческих властей не обнаружено.

▪️Первое заражение связано с техническим идентификатором rauharepo888[@]gmail.com. Этот же адрес HomeKit использовался в ранее задокументированной кампании Pegasus против семи русско- и белорусскоязычных журналистов и активистов, находящихся в Европе.

Шпионское ПО оставалось активным на устройстве как минимум в двух юрисдикциях, а именно в 🇬🇷Греции и 🇧🇪Бельгии. Это, вероятно, указывает на то, что за атакой стоит клиент NSO Group, обладающий лицензией на проведение операций в нескольких странах Европейского союза.

😱 Стелиос Кулоглу заявил, что глубоко возмущен фактом слежки, поскольку злоумышленники получили доступ не только к его политической деятельности, но и к информации, касающейся его личной жизни. Политик планирует подать судебный иск против NSO Group.

Докладчик комитета PEGA Софи ин ’т Велд резко раскритиковала Европейскую комиссию за полное бездействие. Она заявила, что в Европе наблюдается абсолютная безнаказанность в сфере использования шпионского ПО. Депутат Европарламента от 🇩🇪Германии Ханна Нойман и другие политики призвали немедленно начать расследование этого инцидента и внедрить рекомендации комитета PEGA, которые до сих пор игнорировались. Так, например, обсуждалась проверка устройств политиков на наличие шпионских программ и создание специальной ИБ-лаборатории в рамках Европейского союза.

Остается неясным, был ли Стелиос Кулоглу единственной целью злоумышленников внутри комитета. ИБ-исследователи подчеркивают, что без криминалистической проверки устройств всех остальных евродепутатов и сотрудников их аппарата невозможно оценить масштабы ущерба.

📖1,2,3,4,5,6.

✋ @Russian_OSINT

🇨🇳Компания Alibaba вносит 🈁Claude Code в список ⚠️высокорискового программного обеспечения

Утверждается, что компания Alibaba ввела запрет на использование Claude Code в своей внутренней инфраструктуре из-за риска наличия, как пишут, "бэкдора".

Руководство технологического гиганта внесло Claude Code в список программного обеспечения высокого риска после сообщений о скрытых механизмах проверки пользователей. С 10 июля сотрудникам компании будет полностью запрещено применять этот продукт в рабочей среде. В качестве альтернативы сотрудникам рекомендовано использовать Qoder.

Кроме того, компания DeepSeek сформировала специальную команду Harness, которая готовит к выпуску продукт DeepSeek Code Harness, призванный стать прямым конкурентом Claude Code.

✋ @Russian_OSINT

🥷 ИБ-исследователи из Bitdefender Antispam Lab обнаружили фишинговую кампанию, имитирующие официальные уведомления от 👮Интерпола

Как сообщается в блоге Bitdefender, злоумышленники рассылают 🎯 вредоносные письма предприятиям малого бизнеса.

В письмах утверждается, что в отношении организации проводится проверка безопасности, а следствие якобы располагает видеоматериалами и другими доказательствами подозрительной деятельности компании. Для ознакомления с деталями получателям предлагают перейти по ссылке на сервис Proton Drive и скачать запароленный архив, причем пароль указан в самом тексте письма.

Внутри архива находится вредоносная полезная нагрузка, скрытая за несколькими слоями архивации. Злоумышленники используют классическую уловку и маскируют исполняемый файл под видеофайл, рассчитывая на невнимательность сотрудников.

После запуска программа-вымогатель пытается зашифровать файлы на всех доступных дисках устройства и выводит записку с требованием выкупа. По словам ИБ-исследователей Виорела Врабие (Viorel Vrabie) и Андрея Могаге (Andrei Mogage), данное вредоносное ПО является относительно простым и не относится к известным семействам шифровальщиков. В его коде содержатся жестко закодированные значения, включая пароль для шифрования и дешифрования.

В записке с требованием выкупа не указана конкретная сумма, вместо этого пострадавшим предлагают связаться с атакующими через мессенджер Tox для ведения переговоров. Итоговый размер выкупа может зависеть от размера организации, предполагаемой ценности ее данных и платежеспособности.

В отличие от крупных киберпреступных синдикатов, использующих модель «вымогатель как услуга» (RaaS), у этих злоумышленников нет собственного портала для переговоров в даркнете.

Атаки затронули организации в сфере финансов, технологий, медиа, фармацевтики, юриспруденции, сельского хозяйства и пищевой промышленности. География кампании включает регионы Европы, Азии, Ближнего Востока, а также США. Малый бизнес остается привлекательной мишенью, поскольку такие компании часто не имеют выделенного ИТ-персонала и достаточных ресурсов для обеспечения ИБ.

✋ @Russian_OSINT

🐉Pliny the Liberator выпустил T3MP3ST

T3MP3ST — открытый автономный инструмент для проведения пентестов и операций ред-тиминга. Проект разработан как управляющая оболочка, которая расширяет возможности существующих ИИ-моделей для написания кода, таких как Claude Code, Codex или Hermes, и превращает их в полноценных агентов для поиска уязвимостей. Инструмент поддерживает аудит веб-приложений, API, смарт-контрактов Solidity (только воспроизведение известных уязвимостей), анализ исходного кода, а также аудит встроенных систем и инфраструктур OT/SCADA.

ИИ-агенты разделены на восемь специализированных классов операторов, которые привязаны к этапам Cyber Kill Chain и матрице MITRE ATT&CK:

▪️Reconnaissance Operator отвечает за проведение разведки на основе OSINT и сбор данных об активах.
▪️Vulnerability Scanner осуществляет поиск уязвимостей и выявление ошибок конфигурации.
▪️Exploitation Specialist отвечает за непосредственную реализацию эксплойтов и получение первичного доступа.
▪️Lateral Movement Specialist осуществляет перемещение по сети и повышение привилегий.
▪️Data Exfiltration Specialist специализируется на сборе и выгрузке конфиденциальной информации.
▪️Persistence Specialist обеспечивает закрепление в системе и скрытие следов.
▪️Mission Coordinator выполняет функции операционного адмирала, координируя действия всей группы через общую интерактивную доску.
▪️Security Analyst анализирует собранные доказательства и формирует итоговые отчеты.
Для быстрого развертывания предусмотрены готовые тактические шаблоны, включая Full Kill Chain, Strike Team и APT Simulation.

💬Важное уточнение: T3MP3ST представляет собой методологически интересный инструмент для пентеста, который сочетает в себе зрелое, технически закаленное ядро и экспериментальную высокоуровневую мультиагентную обвязку. Базовые компоненты разведки, контроля выходного трафика и безопасного вызова утилит спроектированы надежно, так как при статическом анализе кода не обнаружено признаков бэкдоров, скрытых каналов передачи данных или телеметрии. Основное расхождение между громким позиционированием проекта и его реальной кодовой базой заключается в том, что полноценный автономный рой операторов пока остается экспериментальным, а модули закрепления в системе, облачной безопасности и когнитивной архитектуры в каталоге src/stubs/ представляют собой лишь пустые интерфейсы-заглушки. Все высокие результаты бенчмарков, включая средний показатель 90,1% на тестах XBEN, были достигнуты силами одиночного ИИ-агента, а не за счет взаимодействия роя. Тем не менее, гарантированная воспроизводимость заявленных чисел из закоммиченных артефактов через команду npm run verify-claims и публичное признание автором ошибок тестирования доказывают высокую добросовестность разработки.

— резюмирует код Claude Сode (Opus 4.8).

❗️ https://github.com/elder-plinius/T3MP3ST

👨‍🎓Любое практическое использование подобных инструментов допустимо исключительно в правомерных целях, а именно в исследовательских и образовательных.

✋ @Russian_OSINT

🇨🇳Китай утвердил правила безопасности для ИИ-агентов

Секретариат Национального технического комитета по стандартизации в области кибербезопасности Китая (TC260) выпустил практическое руководство по безопасному развертыванию ИИ-агентов. Этот документ регулирует полный жизненный цикл умных ассистентов на базе ИИ-моделей.

Ключевые требования, распределенные по пяти основным этапам:

🔍 1. Оценка и выбор решения
▪️Нельзя выбирать проекты ИИ-агентов без обновлений дольше одного месяца, если в них остаются неисправленные проблемы с безопасностью.
▪️Запрещено внедрять программное обеспечение с неисправленными критическими уязвимостями или без базовых функций логирования.
▪️Организациям рекомендуют выбирать готовые коммерческие решения со встроенной защитой от вендора. ▪️К использованию открытых проектов без ИБ-инструментов контроля безопасности следует относиться с осторожностью.

🛠 2. Подготовка ИТ-среды
▪️Установочные файлы разрешено скачивать только из официальных источников, также их рекомендуется проверять по цифровой подписи или хэш-сумме.
▪️При локальной установке ИИ-агента требуется выделенное устройство. В виртуальных средах настраивается полная изоляция от хост-системы.
▪️Интегрируемые ИИ-модели должны пройти официальную государственную регистрацию. Любые внешние запросы допускаются исключительно через официальные API.

🚀 3. Развертывание системы
▪️Запрещен запуск ИИ-агентов с правами администратора операционной системы. Системе выделяют минимальные привилегии и отдельный рабочий каталог.
▪️По умолчанию все сетевые службы настраиваются локально для защиты от удаленного несанкционированного доступа.
▪️До начала работы формируется список критических операций. Форматирование дисков, изменение правил брандмауэра или финансовые транзакции выполняются только после ручного подтверждения пользователем или автоматически блокируются.

🖥 4. Использование и мониторинг
▪️Пользователь должен постоянно видеть статус работы ИИ-агента и иметь возможность экстренной остановки системы.
▪️Рекомендуется регулярно проверять файлы долговременной памяти ИИ-агента. Из них вручную удаляют случайно сохраненные конфиденциальные или персональные данные.
▪️Для защиты аккаунтов от компрометации рекомендуется внедрить многофакторную аутентификацию (MFA).

🛑 5. Вывод из эксплуатации
▪️Перед удалением ИИ-агента полностью останавливают все фоновые процессы и связанные службы.
▪️Вся сопутствующая информация, включая базы знаний, логи и долговременную память, удаляется из облака или локального хранилища.
▪️Администраторы обязаны отозвать все API-ключи, сервисные токены и доступы к сторонним приложениям.

📊 Корпоративный контроль и борьба с Shadow AI: Для компаний документ рекомендует вести строгий реестр всех ИИ-активов. Для борьбы с несанкционированным использованием ИИ (Shadow AI) ИТ-службам рекомендуется сканировать порты и анализировать сетевой трафик, чтобы вовремя выявлять скрытые обращения сотрудников к внешним ИИ-моделям.

Почитать можно 📄 тут.

✋ @Russian_OSINT