Исследователи оценили влияние просочившихся в сеть Coruna и DarkSword на киберподполье, отмечая разработки китайских хакеров, которые трудятся над новой платформой для эксплуатации уязвимостей iOS, предназначенной для взлома последней версии iOS 26.

Фреймворки продолжают активно распространяться среди китайских подпольщиков, даже несмотря на то, что Apple устранила большинство уязвимостей, которые использовались стандартных версиях платформ.

В общем, благодаря возможностям Hunt.io исследователи смогли получить доступ к новому исходному коду более продвинутой платформы системы под названием Divine Seagull.

Инструмент Divine Seagull создан на базе Coruna и DarkSword и существует уже некоторое время, и, что интересно на первый взгляд, кажется, что разработчики вложили основной фокус в реализацию атак на iOS 26.x.

Но настоящим прорывом, похоже, Divine Seagull назвать сложно. Версия ПО датируется августом 2026 года. Мотивация разработчика ясна, но функциональность значительно отстаёт от того, чего удалось достичь «оригиналу» в своё время.

Судя по всему, это всё ещё масштабная опытная разработка, и в реальных условиях сегодня это вряд ли принесёт успех. Разработчик столкнулся с серьёзными препятствиями, которые ему не удалось преодолеть.

Как полагают исследователи, возможно, в ближайшем будущем появятся более совершенные продукты, но последние усилия Apple в части безопасности своей iOS и оборудования значительно затрудняют разработку чего-то действительно революционного для обычных разработчиков вредоносного ПО.

Coruna/Darksword изначально имели огромную популярность среди мошенников. Успех основан на том, что разработчики были высококвалифицированными профессионалами с глубоким пониманием аппаратного и программного обеспечения, на которое они нацеливались.

И тот факт, что они также работали на одного из крупнейших американских производителей кибероружия, безусловно, был большим плюсом. Это привнесло в «игру» совершенно иной уровень экспертизы и ресурсов.

В целом, исследователи констатируют, что в ближайшее время что-то подобное Coruna/Darksword в широком доступе киберподполья вряд ли стоит ожидать. Но будем посмотреть.

• Эх... Жиза...

#Юмор

Хакеры взломали инфраструктуру AOMEI для внедрения бэкдоров в Windows, активировав вредоносные конфигурации всего на пять-десять минут, после чего восстановили легитимный контент.

Согласно отчетам Google GTIG, Mandiant и ManageEngine's Threat Analysis Lab (METAL) (1 и 2), кампания проводилась с апреля по июль 2026 года и затронула каналы доставки ПО, используемые AOMEI Backupper и AnyViewer.

METAL впервые обнаружила подозрительную активность 28 мая, когда AOMEI Backupper установила ПО для удаленного администрирования на компьютеры двух не связанных между собой клиентов в разных странах. Позже исследователи Mandiant подробно описали более масштабную кампанию, отслеживаемую как UNC7017.

AOMEI разрабатывает утилиты для Windows, предназначенные для резервного копирования данных, клонирования дисков и аварийного восстановления, в частности, Backupper, а также программное обеспечение для удаленного доступа к рабочему столу и поддержки AnyViewer.

В число выявленных жертв вошли организации, работающие в сфере IT, телекоммуникаций и высшего образования в 11 странах, включая США, Австралию, Индию, Бразилию и ряд европейских стран.

Злоумышленники внесли изменения в два конфигурационных файла, используемых процессами фонового обновления и уведомлений AOMEI.

Один из файлов, down_html.ini, указывал приложению, куда загрузить архив контента, и предоставлял ожидаемую контрольную сумму MD5. Другой файл, Notifycfg.ini, управлял поведением уведомлений, которые могли запускать локальное выполнение.

Ни одна из конфигураций не была криптографически аутентифицирована клиентом. Изменяя как место загрузки, так и соответствующую контрольную сумму, злоумышленники могли заставить вредоносный пакет пройти проверку целостности приложения.

METAL нашла неподписанный исполняемый файл upgrade-now.exe, встроенный в 232 рекламных файла. Локальная HTML-страница автоматически запускала его через встроенный браузер приложения, не требуя от пользователя никакого взаимодействия, кроме запуска самого приложения.

В этой цепочке использовалось не ПО с целью эксплуатации уязвимости, а злоупотребление существующим поведением приложения.

Исследователи подтвердили наличие периодов взлома, длившихся десять минут 28 мая, шесть минут 16 июля и пять минут 20 июля. После этого аутентичные конфигурации восстановливались, а это значит, что исследователи, проверявшие те же URL позже, обнаружили чистый контент.

Mandiant охарактеризовала инцидент как свой первый опыт столкновения с компрометацией цепочки поставок ПО с использованием столь коротких сроков поставки.

Вредоносный пакет распространял CROSSROAD, загрузчик, который загружал дополнительные компоненты, создавал постоянное присутствие в запланированных задачах и удалял себя.

Впоследствии бэкдор SHINYROAD использовал легитимный исполняемый файл Radmin с цифровой подписью для загрузки вредоносной DLL-библиотеки. Его возможности включали удаленное управление командной оболочкой и получение дополнительного кода во время выполнения.

METAL подтвердила установку подлинного Radmin Server, но не обнаружила никаких признаков его работы. 20 июля злоумышленники также настроили невидимое окно уведомлений для запроса удаленного ресурса WebDAV.

Это могло бы раскрыть данные аутентификации Windows NetNTLMv2 без запуска вредоносного ПО, что потенциально позволило бы осуществлять взлом паролей или атаки с использованием ретранслятора аутентификации.

METAL уведомила AOMEI 7 июня, а затем Mandiant - 17 июля. 29 июля AOMEI сообщила Mandiant о принятии мер по исправлению ситуации. При этом исследователи отмечают, что восстановление серверов не удаляет вредоносное ПО, уже установленное на компьютерах.

Использующим любой из затронутых продуктов, следует провести расследование активности в течение апреля-июля, включая обнаружение неожиданных исполняемых файлов в каталогах html AOMEI и запланированных задач с именами RadminComponentRuntime или NitroRuntime.

One Day Offer: создавай архитектуру безопасности для Сбера! 🛡

24 октября центр кибербезопасности проведёт экспресс-отбор в команду для архитекторов, которые готовы к амбициозным задачам:

✔️ Разрабатывать и развивать архитектуру безопасности.
✔️ Организовывать внедрение средств защиты информации.
✔️ Контролировать эффективность реализованных мер.

Если ты проектируешь не «чтобы работало», а «чтобы было надёжно» — регистрируйся на One Day Offer. До встречи, будущий коллега! 💚

• А вы знали, что история возникновения штрих-кода появилась еще в 1932 году? Технику его создания предложил американский студент Уоллес Флинт, который в то время учился в Гарвардском университете. Основной его задачей была максимальная автоматизация торговых процессов.

• Согласно идее студента, к каждому товару в ассортименте супермаркета "привязывалась" оригинальная перфокарта. Покупатели просто выбирали бы перфокарты и передавали их менеджеру. Тот сканировал их специальным устройством, после чего поступал сигнал на ленточный конвейер, который доставлял нужный товар со склада. Далее покупатель получал счет и оплачивал его, а в общую базу данных супермаркета вносилась информация о покупке. К сожалению, в то время реализовать подобную задумку было сложно. А вернее дорого.

• Но в 1948 году идея вновь всплывает на поверхность. В это время Бернард Силвер и Норман Вудленд развили идею Флинта, сами того не подозревая. Они просто услышали разговор владельца одного из магазинов о том, что было бы хорошо автоматически считывать информацию о каждом продукте перед продажей. Их это заинтересовало и началась активная работа.

• Вудленд бросает свою учебу в аспирантуре, которая мешает ему сосредоточится на решении целиком, и уезжает в Майами. Там он к нему и приходит решение: он вспоминает как изучал азбуку Морзе. Песок пляжа, на котором он пробует изобразить точки и тире, наталкивает его на мысль о передаче содержания с помощью линий различной толщины.

• Кодировку надо было как-то считывать, и Вудленд с Сильвером придумали использовать для этого технологию передачи звука в кино, придуманную за два десятка лет до них Лу де Форестом, которая заключалась в "просвечивании" разной интенсивности цвета, наносимого по краю кинопленки.

• Уже в 1949 году друзья получили патент на свое изобретение (их код выглядел как "яблоко", полоски расположены были по кругу, как на фото выше).

• Однако на этапе конструирования, уже работая в IBM, куда их пригласили как авторов приглянувшейся руководству компании перспективной идеи, изобретатели столкнулись с проблемой считывания кода, а точнее — с проблемой создания адекватного устройства.

• Их первый "сканер" представлял из себя устройство размером со стол, крышка которого была прозрачной, а под крышкой были мощные лампы. Получаемый сигнал передавался на осциллограф, который должен был фиксировать результат. Первые испытания закончились пожаром: лампы раскалили крышку, бумага задымилась, но, тем не менее, первый результат был получен.

• Проблема считывания кода выглядела нерешаемой, и тем более не решаемой была проблема обработки полученной информации. Эта задача возлагалась на ЭВМ, но ЭВМ тех лет были чрезвычайно громоздки и еще только учились решать задачи сложнее арифметических действий.

• По итогу в IBM официально закрыли проект, Вудленд и Сильвер продают свой патент в компанию RCA за $15000. RCA вцепляется в идею шрих-кода, и много лет экспериментирует с ней, пробуя заинтересовать им торговлю. Они первые догадались применить для сканирования кода лазер!

• У компании есть и первые успехи: их кодом начинают пользоваться при железнодорожных и морских перевозках.

• В конце концов, их активность оказывается замеченной: в начале 70-х американский союз супермаркетов объявляет конкурс на лучший код.

• Корпорация IBM мгновенно "возвращается в игру". Создается рабочая группа во главе Джорджа Лорера. Вместе с математиком Дэвидом Савиром они приступают к решению. Тут кто-то из ветеранов IBM вспоминает про двух талантливых ребят, занимавшихся у них этой проблемой в 50-е. Сильвера к тому времени уже нет в живых, но Вудленд не растерял своих способностей, и он с азартом включается в работу.

• Лорер находит "ахиллесову пяту" концентрического кода, и предлагает вместо него линейный: это очень упрощает процесс сканирования и резко повышает его качество, количество ошибок при считывании резко снижается.

• В итоге именно простое и элегантное решение от IBM пришлось по вкусу американской торговле, и 3 апреля 1973 года считается рождением UPC (Universal Product Code). Так и пошло...

#Разное

• 24 года назад программист по имени Брэм Коэн в одиночку совершил революцию в сфере технологий обмена файлами - он создал BitTorrent. В начале двухтысячных новый протокол обмена файлами изменил ход развития Интернета.

«Наконец-то заработало моё новое приложение BitTorrent, оно доступно по ссылке ниже», — написал Коэн на доске объявлений Yahoo!.. Это было 2-го июля 2001 года.

• Вероятно, за всю историю ИТ это была одна из самых лаконичных PR-кампаний в поддержку запуска нового продукта. Не впечатлил и "дизайн" официального сайта с чёрным текстом на белом фоне: весь сайт - несколько строк HTML-кода. Тогда никто не мог представить, какую роль в развитии всего Интернета сыграет BitTorrent.

• Полное отсутствие маркетинговой составляющей Брэм компенсировал за счёт технических характеристик продукта. Он ранее работал в стартапе, команда которого трудилась над одноранговой сетью MojoNation. Потом у проекта закончилось финансирование, и 25-летний разработчик сосредоточился на развитии собственного проекта - протокола для обмена файлами.

• Коэн был не единственным в этой нише. Обмен файлами набирал обороты, и появлялись десятки новых приложений. Например, к началу двухтысячных файлообменная пиринговая сеть Napster успела побыть первопроходцем на волне популярности обмена MP3-треками и получить иск от группы Metallica за слив демоверсии их новой песни. Это привело к смерти и реинкарнации Napster в статусе музыкального сервиса.

• Однако BitTorrent явно отличался от конкурентов, сосредоточив внимание на скорости загрузки файлов и децентрализации сети. Вместо того, чтобы просто делиться файлом с одним человеком за раз, один файл могли раздавать сразу несколько пользователей. Чем больше пользователей участвовало в раздаче, тем выше становилась скорость загрузки.

• Идея децентрализации была довольно новой на тот момент. В большинстве инструментов для обмена файлами была реализована централизованная инфраструктура, доступ к которой осуществлялся с помощью единого управляющего софта. BitTorrent же позиционировался как открытый протокол.

• Через несколько месяцев после публичного релиза BitTorrent появились первые "торрент-сайты", которые позволяли пользователям загружать и обмениваться музыкой, фото, софтом и фильмами. Раньше распространять такие тяжёлые файлы (часто полученные нелегально) среди широкой аудитории было накладно из-за слишком больших затрат на обеспечение высокой пропускной способности и хранение этих файлов.

• Технология, лежащая в основе BitTorrent, позволяла размещать на сайтах-файлообменниках не сами файлы, а торренты (.torrent). Как оказалось, как раз эта технология и перевернула игру.

• Файл метаданных с расширением .torrent - это, по сути своей, словарь, содержащий информацию о том, какие файлы привязаны к торренту, каким образом и из каких источников они будут скачаны.

• В начале 2000-х, когда торренты набирали обороты, это заметили интернет-провайдеры. В какой-то момент на BitTorrent приходилась треть суммарного интернет-трафика во всем мире.

• Но обработка такого количества трафика оказалось тяжёлой задачей для инфраструктуры многих интернет-провайдеров. Поэтому некоторые из них начали ограничивать, фильтровать торрент-трафик.

• Брэм Коэн со временем преобразовал свой проект в технологический стартап BitTorrent Inc и привлёк миллионы долларов венчурных инвестиций.

• BitTorrent Inc не имела ничего общего с пиратскими сайтами и сосредоточилась на разработке BitTorrent, помогая артистам и другим правообладателям делиться контентом.

• Одна из самых удачных сделок BitTorrent - это покупка клиента uTorrent у шведского разработчика Людвига Стригеуса в 2006 году. Сегодня uTorrent по-прежнему является едва ли не самым популярным торрент-клиентом. Кстати, Стригеус тоже добился успеха, но уже с сервисом Spotify.

• С годами затраты на обеспечение высокой пропускной способности снизились, поэтому BitTorrent частично утратил своё конкурентное преимущество. Однако это по-прежнему хорошая технология, которую помимо обычных людей, используют и крупные организации, включая Google и NASA.

#Разное

Злоумышленники взломали сайт TeamUpdraft, разработчика популярных плагинов для резервного копирования и безопасности WordPress, потенциально скомпрометировав ключи подключения UpdraftCentral, которые позволяют отправлять команды на подключенные сайты.

В выходные дни TeamUpdraft обнаружила несанкционированный доступ к своей инфраструктуре, полагая, что хакер получил доступ к базе данных клиентов. При этом один лишь UpdraftPlus плагин для резервного копирования и восстановления имеет более 4 млн. загрузок.

Поставщик полагает, что, по его мнению, злоумышленник получил доступ к базе данных, которая содержала информацию о клиентах, платежных реквизитах, истории заказов, а также более конфиденциальную информацию, включая хеши паролей, настройки 2Fa и ключи подключения для сервисов UpdraftCentral, UpdraftVault и UpdraftClone.

При этом в TeamUpdraft отмечают, что файлы плагина UpdraftPlus и возможности его загрузки остаются без изменений. Самостоятельно размещенные экземпляры UpdraftCentral также не затронуты.

Даже если резервные копии в собственном удаленном хранилище клиентов не затронуты, компания рекомендует обновлять учетные данные хранилища и повторно авторизовывать подключения, если они заходили на свой сайт через UpdraftCentral.

По оценкам, примерно 10% сайтов, использующих UpdraftPlus, имеют ключ UpdraftCentral или Migrator, что потенциально подвергает атаке около 400 000 сайтов.

По мнению Patchstack, злоумышленники начали использовать украденные ключи доступа для внедрения бэкдоров на сайты, подключенные к UpdraftCentral, и предполагают, что на самом деле кампания может быть гораздо более масштабной, нежели атака wp2shell.

Исследователи отследили начало атак 18 октября в 15:32 UTC, когда атакующие нацелились на RCE и добавление учетных записей с полными правами администратора.

Зафиксировано как минимум 99 вредоносных плагинов-бэкдоров с различными названиями, замаскированных под инструменты для обслуживания и оптимизации WordPress, например, Site Health Cache.

Patchstack описывает ранний вариант плагина-бэкдора, который оказался неработоспособен из-за ошибки в коде. В отчете Nethemba представлена более новая версия, позволяющая злоумышленникам создавать привилегированные учетные записи или входить в систему от имени существующих администраторов.

Исследователи Nethemba отметили, что три её собственных сайта на WordPress также стали плацдармом для вредоносных плагинов UpdraftCentral.

Злоумышленник проник на сервер через канал удаленного управления UpdraftCentral и подписал команды, используя действительные закрытые ключи панели управления.

Пользователям рекомендуется обновиться, после чего войти на каждый сайт WordPress и удалить ключи подключения UpdraftCentral.

Также следует проверить журналы и файлы на наличие IOCs от TeamUpdraft, Patchstack и Nethemba. В случае подтверждения взлома - восстановить сайты из чистых резервных копий, изменить пароль учетной записи TeamUpdraft, аннулировать все сессии и сбросить 2Fa.

🥷 Как построить SIEM-мониторинг без слепых зон: от сценария атаки до источников событий

Приглашаем на открытый урок.

🗓 5 ноября в 20:00 МСК
🆓 Бесплатно. Урок в рамках старта курса «Специалист по внедрению SIEM».

Программа вебинара
✔️Почему «успешный логин» ещё не означает легитимный вход.
✔️ Сколько времени нужно хранить логи для эффективного расследования.
✔️Как отличить легитимную выгрузку в облако от эксфильтрации без DLP.
✔️Готов ли SOC к атаке без вредоносного ПО — Living off the Land.


🔗 Ссылка на регистрацию: https://otus.pw/mrX6/

Реклама. ООО «Отус онлайн-образование», ОГРН 1177746618576

• Если вам интересна тема анализа трафика и выявление вредоносных активностей, то обратите внимание на этот ресурс: https://www.malware-traffic-analysis.net. Тут очень много ценной информации, включая образцы трафика реальных вредоносных программ. Еще там есть инструкции с разбором дампов трафика и необходимые пояснения для изучения.

• Также посмотреть дампы трафика можно на https://github.com/thongsia/Public-Pcaps и https://github.com/tatsuiman/malware-traffic-analysis.net. Здесь образцы будут не такие свежие, но зато их довольно много для различных видов вредоносов.

#Security #Malware

• Расскажу вам о забавном баге в аппаратном обеспечении МФУ Xerox, который проявлялся очень странным образом: при использовании ксерокса и копировании документа он заменял цифры в оригинале!

• Мы привыкли к тому, что ксерокс, хоть и технологичное устройство, но в общем его функции достаточно банальны — сделать копию с оригинала. Интуитивно мы предполагаем, что ксерокс работает как связка сканера с принтером: отсканировали изображение, получили картинку и отправили её на принтер. Именно так и работали ранние ксероксы.

• Но устройства усложнялись, появились МФУ, в которых уже была встроена довольно сложная программная начинка. Видимо, в этом и заключалась причина ошибки, которую в 2013 году обнаружил немец Дэвид Крисель в МФУ фирмы Xerox.

• Совершенно случайно Дэвид заметил, что при ксерокопировании некоторых документов с цифрами устройство периодически заменяло цифру "6" на "8", а цифру "2" на "1". Согласитесь, что это крайне странное поведение для ксерокса. Тем более, что в нём был отключён алгоритм распознавания текста и пользователь выполнял простое ксерокопирование.

• Оказалось, что в устройстве использовался алгоритм компрессии графики JBIG2. Этот алгоритм фактически выполняет распознавание текста и заменяет графическое изображение на символы. При появлении схожих символов алгоритм подбирал им замену из библиотеки уже распознанных букв и цифр.

• Понятно, что распознавание текста позволяет существенно сжать исходный файл. Другой вопрос, зачем этот алгоритм применялся при простом ксерокопировании. Интересно, что при недостаточном качестве сканирования алгоритм может заменить ещё и "2" на "7" или даже "1" на "3".

• Компания Xerox не сразу признала свою ошибку. Поупиравшись какое-то время, Xerox всё-таки выпустили обновлённую прошивку для своих устройств. Но многочисленные пользователи должны её скачать и установить, а это делают далеко не все.

• Кроме того, этот же алгоритм используется не только в большинстве устройств фирмы Xerox, но и в устройствах и программах других фирм. А теперь представьте, что при очередном ксерокопировании устройство заменит, например, номер вашего паспорта или сумму вашей зарплаты в бухгалтерской ведомости... Такая вот история.

#Разное

Под конец рабочей недели отметим наиболее трендовые угрозы:

1. GitLab предупредила о серьезной уязвимости, которая позволяет хакерам захватить контроль над собственными серверами. Она представляет собой RCE до аутентификации с CVSS 10/10. CVE-2026-110264 затрагивает все версии GitLab, начиная с версии 7.0, выпущенной в 2014 году.

2. Arista Networks выпустила патч для устранения новой 0-day в локальных серверах VeloCloud Orchestrator, которая позволяет удаленным злоумышленникам получать доступ к внутренним функциям без аутентификации. CVE-2026-114625 - уже третья 0-day в VeloCloud, исправленная в этом году.

3. Голландская Eye Security удалила заброшенное и уязвимое пиратское приложение Popcorn Time с более чем 2 млн. компьютеров под управлением Windows и macOS.

Для этого использовала уязвимость в домене с истекшим сроком действия для запуска обновления приложения и его удаления с систем, которые отреагировали. Eye сделала это в обход правоохранительных органов, а пакет обновления впоследствии был помечен как вредоносный некоторыми приложениями безопасности.

4. PHP предупредила об еще одном способе запуска кода на сервере, спустя два дня после выпуска экстренных исправлений для PHP2Shell. CVE-2026-115560 затрагивает только веб-приложения, с нетипичной конфигурацией.

PHP рассматривает её угрозой с маловероятным риском и не намерена выпускать экстренное исправление. Вместо этого рекомендуется отключить функцию, называемую прогресс загрузки сессии, до тех пор, пока исправление не будет доступно в следующем плановом релизе.

Кроме того, Sophos сообщает, что злоумышленники пытались использовать PHP2Shell для установки Potassium, который, по ее мнению, является вариантом ботнета Mirai.

Sansec, предсказывавшая ранее массовую эксплуатацию уязвимости в течение 15 минут после выпуска патча, пересмотрела свою точку зрения. В обновлении от 22 октября компания заявила, что для успеха необходимы подробные знания о сервере, а общедоступные экспромты не работают против установок PHP с настройками по умолчанию.

Исследователи назвали рандомизацию размещения адресного пространства (ASLR), которая случайным образом определяет местоположение кода и данных в памяти, серьезным препятствием для выполнения кода. VulnCheck утверждает, что нашла способ обойти эту проблему.

Censys отслеживает установку исправлений для PHP2Shell в режиме реального времени с помощью общедоступной панели мониторинга, которая показывает, сколько доступных из интернета PHP-сервисов по-прежнему используют уязвимую версию.

5. Исследователи Imperva продемонстрировали RCE-уязвимость Node2Shell на сборке Node.js. Вредоносные данные Brotli могут привести к тому, что приложение на официальной сборке Node.js будет запускать предоставленный злоумышленником код.

Node.js сообщила о CVE-2026-111497 и выпустила исправления 21 октября. По состоянию на 22 октября сообщений об использовании данного недостатка в дикой природе не поступало.

6. Критическая CVE-2026-112900 в популярной библиотеке изображений Pillow для Python позволяет выполнять код с помощью специально созданного изображения. Разработчики Pillow исправили багу в версии 13.0.0, выпущенной 16 октября.

7. На серверах Linux под управлением KSMBD, встроенного в ядро сервера SMB, обнаружены две RCE-уязвимости, получившие оценку 9.0 от Zero Day Initiative, которые до сих пор не исправлены в основной ветке ядра.

Первая ZDI-CAN-33774 может быть активирована до любой сетевой аутентификации. Другая, ZDI-CAN-33549, требует использования транспортного протокола SMB Direct и сетевого интерфейса с поддержкой RDMA.

8. Уязвимость в агенте OpenCode AI позволяла вредоносному или взломанному MCP-серверу запускать код на компьютере разработчика под управлением Windows или WSL, когда разработчик входил в систему. 

Anomaly исправила уязвимость в версии 1.18.33 28 сентября, но не запрашивала CVE и не публиковала бюллетень, поэтому сканеры уязвимостей не будут отмечать сборки, которые все еще находятся под угрозой: с 1.0.137 по 1.18.32.

• Мем смешной, а ситуация страшная...

#Юмор