🆕 Еженедельный обзор киберновостей

Google на несколько часов выпал из зоны .RU, а после атак беспилотников на дата-центры «Яндекса» и Сбера крупнейшие маркетплейсы попросили разрешить хранить данные россиян за рубежом. Во Франции хакеры на шесть часов разогрели холодильники сотен супермаркетов до 50 градусов, а Microsoft через суд разгромила фишинговый конвейер, разославший больше миллиарда мошеннических сообщений — собрали самые интересные новости недели в одном месте, чтобы вы ничего не пропустили.

🌎В мире

Хакеры удалённо включили режим разморозки на холодильных контроллерах, и в 150 супермаркетах Intermarché пришлось уничтожить продукты, которые шесть часов простояли при 50 градусах.

Данные 8,8 млн человек из реестра населения Дании утекли через учётки IT-подрядчика, у которых, по данным журналистов, стоял пароль «123456».

Microsoft с разрешения суда разгромила фишинговые сервисы YAM Store, CoGUI и Iron Man и теперь блокирует больше 100 тысяч их доменов.

ФБР накрыло «фермы ноутбуков» по 40 с лишним адресам в Техасе, через которые IT-работники КНДР устраивались в американские компании, и предъявило обвинения 14 фигурантам.

Трое 17-летних французов построили поисковик Stryx по 730 млн записей из утечек, а после их задержания полиция получила данные о покупателях сервиса.

🇷🇺В России

Ozon, Wildberries и «Яндекс Маркет» через свою ассоциацию попросили Мишустина временно разрешить держать данные россиян в зарубежных ЦОДах, если российские площадки выйдут из строя.

Утром 14 октября google.ru, youtube.ru и gmail.ru на несколько часов выпали из зоны .RU, и до сих пор неизвестно, кто снял их делегирование.

Минцифры хочет с 2032 года пускать в российские сети 5G только смартфоны с поддержкой шифра «Кузнечик», хотя массовые модемы его пока не поддерживают.

Рособрнадзор остановил федеральное исследование качества образования: во время анкетирования на школьных экранах вместо вопросов появились антигосударственные призывы.

По данным Citizen Lab, израильская Discover-Tech, связанная с доставкой шпионского ПО, закупала рекламу в основном через сеть «Яндекса», но доказательств, что «Яндекс» об этом знал, нет.

ℹ️Новости в сфере ИБ

Microsoft закрыла рекордные 1411 уязвимостей за один Patch Tuesday, и одну из них уже используют в атаках для обхода защиты Mark of the Web.

Четыре группировки, включая китайскую APT31, собирали эксплойты по свежим исправлениям Chromium и атаковали тех, кто не успел обновиться.

Cisco подтвердила атаки на почтовые шлюзы Secure Email Gateway, где для выполнения команд с правами root хватает одного специально подготовленного письма.

Больше 1500 npm-пакетов можно было угнать, просто заняв на GitHub имя переименованного или удалённого репозитория.

Джо Гранд нашёл в кошельках Trezor из неофициальных магазинов подменённые чипы, которые выдавали владельцу сид-фразу, заранее известную злоумышленникам.

🔒Почитать

Как DLL загружают прямо в память процесса в обход системного загрузчика и почему следы такой атаки ищут в памяти и поведении процесса, а не на диске.

Как защитить аккаунт на Госуслугах вторым фактором и что делать по шагам, если его всё-таки взломали.
Почему у CDN нет универсального победителя и как сравнивать провайдеров по TTFB, p95, кешу, защите от DDoS и реальной стоимости.

Как команда akPots расследовала атаки на телеком в кибербитве Standoff 17 с помощью R-Vision SIEM, который большинство участников видели впервые.

🔥 Мероприятия

20 октября разработчики MWS Cloud Platform на бесплатном вебинаре покажут, как выгружать аудитные логи из облака в SIEM-системы.

21 октября Security Vision и «Газинформсервис» на бесплатном вебинаре расскажут, как сертифицированная СУБД Jatoba помогает защищать данные в ГИС, ИСПДн и КИИ.

22 октября SECURITM и Кауч на вебинаре покажут, как понять, какие небезопасные настройки ИТ-систем опаснее всего для бизнеса и что исправлять в первую очередь.

Делитесь в комментариях, как прошла ваша неделя и какая новость больше всего удивила.

@SecLabNews

🫡Хакеры взломали FirstVDS и украли пароли с клиентских серверов

Хостинг-провайдер FirstVDS подтвердил серьёзную атаку на свою инфраструктуру. Злоумышленники воспользовались уязвимостью в VMmanager 6 и получили доступ к файлам клиентских виртуальных серверов. Под угрозой оказались SSH-ключи, пароли, криптокошельки и другие секретные данные. Причём владельцы серверов могли даже не заметить кражу.

Хакеры действовали не через клиентские операционные системы, а непосредственно через инфраструктуру провайдера. Вредоносная программа подключала виртуальные диски в режиме чтения, находила ценные файлы и отправляла их на внешний сервер. Потенциальное окно доступа 17 октября составило более десяти часов. Сайты и приложения при этом могли продолжать работать совершенно нормально.

FirstVDS рекомендует пострадавшим считать скомпрометированными все секреты, хранившиеся на затронутых машинах. Простая смена пароля от VDS не поможет. Придётся отзывать ключи, менять токены и проверять сторонние сервисы. Точное количество пострадавших пока неизвестно, а использованную уязвимость ещё не удалось полностью закрыть.

#FirstVDS, #Хакеры, #УтечкаДанных @SecLabNews

➡️ТСПУ против бабушкиных чатов: счет 0:1 в пользу зелёной трубки

Ограничения звонков, замедление и проблемы с подключением не заставили россиян окончательно отказаться от привычных мессенджеров. Telegram на Android за год увеличил месячную аудиторию на 26%, до 114 млн пользователей. WhatsApp после продолжительного падения впервые за год показал признаки восстановления.

По данным, в июле аудитория WhatsApp выросла на 1,7%, а в августе ещё на 4,4%. Аналитики предполагают, что пользователи постепенно приспособились к ограничениям и нашли способы сохранить привычное общение. Telegram удерживает аудиторию ещё и благодаря каналам, новостям и ботам, ради которых приложение продолжают открывать даже при неработающих звонках.

Впрочем, праздновать победу над блокировками рано. За год WhatsApp потерял 30% месячной аудитории, а Telegram заметно просел по ежедневной посещаемости. Ограничения работают, но не так, как можно было ожидать. Россияне не спешат отказываться от привычных сервисов и предпочитают приспосабливаться.

#Telegram, #WhatsApp, #Блокировки @SecLabNews

ℹ️ Практический воркшоп: Бегущий по лезвию 187-ФЗ. Категорируем объекты КИИ без ошибок и риска штрафов

🗓 29 октября в 11:00

Категорирование КИИ - движение по грани: ошибка в выборе объектов или оценке последствий может привести к неверной категории и претензиям регулятора.

В 2026 году важно проверить результаты прежнего категорирования с учётом ПП РФ № 1762 и отраслевых особенностей. Изменения показателей и отраслевых правил требуют пересмотра в затронутой части, даже если пять лет ещё не прошло. Категория может измениться, а перечень объектов и документы нужно привести в соответствие с реальностью.

🎙 Артём Четвертной, руководитель отдела экспертизы, прямо в SECURITM покажет, как:

🔴 Определить сферы деятельности и объекты для категорирования
🔴 Собрать комиссию по категорированию
🔴 Оценить показатели значимости
🔴 Подобрать защитные меры и построить динамическую модель угроз
🔴 Вести объект после категорирования

➡️ Регистрируйтесь - и переходите с лезвия на твёрдую опору.

🙈Уязвимость VMmanager открыла хакерам доступ к серверам десятков хостингов

Масштабная атака на российские хостинг-провайдеры оказалась куда серьёзнее первоначального взлома FirstVDS. Через уязвимости в VMmanager 6 злоумышленники проникали в управляющую инфраструктуру операторов и похищали клиентские данные. По оценке одного из пострадавших провайдеров, кампания могла затронуть несколько десятков хостингов.

Хакерам не требовалось взламывать каждый виртуальный сервер. Достаточно было получить контроль над системой управления, чтобы добраться до дисков клиентов со стороны оборудования провайдера. Специальная программа искала пароли, SSH-ключи, криптокошельки и другие секреты. При этом виртуальные машины продолжали работать, а владельцы могли даже не подозревать о краже.

Разработчик VMmanager подтвердил проблему, но исправления пока не позволили всем провайдерам снять ограничения. Взломанные провайдеры продолжают держать панель закрытой, а пострадавшим клиентам рекомендуют срочно заменить ключи и пароли. Даже после устранения уязвимости украденные доступы останутся пригодными для новых атак, пока владельцы их не отзовут.

#VMmanager, #Хостинг, #Кибератака @SecLabNews

👀 РКН утвердил правила трансграничного транзита на 2026 год

Опубликован свежий приказ РКН № 253, регулирующий трансграничную передачу сведений о гражданах по статье 12 закона 152-ФЗ. Список стран с адекватной защитой теперь насчитывает ровно 88 позиций. Ведомство объединило участников европейской конвенции и сторонние государства в единый реестр, окончательно закрепив новый подход к оценке рисков. Украину оттуда ожидаемо убрали, а Штаты туда даже не пытались пускать.

Разница вполне практическая. Если российский бизнес отправляет персональные данные получателю в Китае, передачу можно начинать сразу после обязательного уведомления регулятора. С американским получателем придётся ждать до десяти рабочих дней, а при запросе дополнительных документов и дольше. При этом требования к защите сведений никто не отменял.

Поэтому бизнесу имеет смысл проверить не только договор с иностранным сервисом, но и фактическое местонахождение получателя данных. Само использование зарубежного ПО нарушения не образует. Значение имеют состав передаваемых сведений, страна получателя и соблюдение российских требований, включая локализацию персональных данных.

#роскомнадзор, #персональныеданные, #инфобез @SecLabNews

😇Для PHP готовят экстренные патчи. Опубликован рабочий эксплоит

Загрузить фотографию, прикрепить документ или отправить файл через веб-форму. За привычными действиями может скрываться опасная ошибка в PHP, которая, по утверждению независимого исследователя, позволяет добраться до выполнения команд на сервере.

Предполагаемая уязвимость связана с механизмом отслеживания загрузок. PHP запоминает адреса участков оперативной памяти, но при определённых условиях продолжает обращаться к ним даже после освобождения. Если атакующему удастся занять освободившуюся область подготовленными данными, программа может начать выполнять совсем не те инструкции, которые задумал разработчик.

Автор PHP-UP-2026 уже опубликовал инструменты для проверки такого сценария. Однако полноценный взлом произвольного сервера пока не подтверждён, как и связь исследования с двумя критическими ошибками, которые PHP собирается исправить 21 октября.

Самое неприятное в предполагаемой атаке заключается в том, что опасность может исходить не от содержимого загружаемого файла, а от самого механизма его обработки.

#PHP, #Уязвимости, #Кибербезопасность @SecLabNews

🚰 Закрытый ключ оказался числом 4. Добро пожаловать в мир серьёзной криптографии

Криптография высшей пробы. Берём эллиптическую кривую P-384, обеспечивающую при правильной реализации стойкость порядка 192 бит, и каким-то образом получаем закрытый ключ со значением 115. Или 4. Или 56. У удостоверяющего центра eMudhra восемь закрытых ключей промежуточных центров сертификации оказались обычными числами от 4 до 237. Исследователь Скотт Хелме восстановил все восемь по открытым данным сертификатов менее чем за секунду, просто перебрав возможные значения. Ни взлома серверов, ни компрометации аппаратных модулей безопасности не потребовалось. Сама криптография работала безупречно, просто её стойкость свели к восьми битам. Причём шесть скомпрометированных ключей предназначались для выдачи TLS-сертификатов, а ещё два для подписи программного кода. В результате любой обладатель таких ключей мог выпускать криптографически корректные сертификаты от имени доверенного центра.

Самое интересное обнаруживается в истории инцидента. Ещё в мае 2025 года шесть тех же промежуточных центров публиковали списки отзыва сертификатов с некорректными цифровыми подписями. Ошибку тогда исправили и публично разобрали, но главную проблему с ключами не замечали около 17 месяцев. Теперь выяснилось, что всё это время злоумышленник потенциально мог подделывать сертификаты для произвольных доменов. Chrome и Firefox оперативно заблокировали скомпрометированные ключи, а обязательная проверка Certificate Transparency дополнительно защищала браузеры от незарегистрированных подделок. С небраузерным программным обеспечением ситуация хуже. Многие TLS-клиенты, включая распространённые конфигурации curl, Python и Node.js, не проверяют ни журналы CT, ни статус отзыва сертификатов. Хелме продемонстрировал, как такие приложения принимают поддельный сертификат для API Stripe. Для реальной атаки потребовалась бы возможность перехватывать или перенаправлять трафик, но дальше злоумышленник уже мог бы получать токены авторизации и другие конфиденциальные данные.

Вся история прекрасно иллюстрирует слабое место инфраструктуры открытых ключей PKI. Можно использовать надёжные алгоритмы, аппаратные криптомодули и многоступенчатые процедуры, а затем испортить результат одной ошибкой в сценарии генерации ключей. По предварительному объяснению eMudhra, скрипт создал дополнительные слабые ключевые пары, а сотрудники перепутали их с полноценными из-за похожих названий. Ошибочные ключи получили сертификаты не только от собственного корневого центра, но и через перекрёстную подпись Sectigo. Теперь Mozilla исключает затронутый корневой сертификат из доверенного хранилища NSS, а Chrome готовит удаление emSign ECC Root CA - G3, из-за чего некоторым законным владельцам сертификатов придётся менять цепочки доверия. Однако главная проблема шире конкретного удостоверяющего центра. Пока приложения полагаются на устаревшие хранилища CA и игнорируют отзыв сертификатов, даже давно скомпрометированный однобайтовый ключ способен оставаться действующим инструментом для подмены доверенных серверов. И никакая математическая стойкость P-384 здесь уже не поможет.

#Криптография, #Сертификаты, #Уязвимости @SecLabNews

ИИ закрыл все тревоги. А атаки точно остановлены?

ИИ-расследователь в SOC может собирать доказательства и разгружать аналитиков. Но неполные журналы, инструкции злоумышленника внутри улик и слепое доверие вердикту «безопасно» превращают автоматизацию в риск.

❗️ Где проходит граница между самостоятельным расследованием и опасным реагированием? Почему отправленная команда блокировки ещё не означает устранённую угрозу? Разбираем в статье на SecurityLab — и объясняем, как оценивать пользу ИИ, а не красоту отчётов.

💻 Читать статью

18+. Реклама. Рекламодатель ООО «Интеллектуальная безопасность», ИНН 7719435412, erid: 2SDnjee4qFz

😍 ИИ помог найти дыру в PHP. Теперь весь интернет спешно устанавливает патчи

Захватить сервер без авторизации, выполнить на нём произвольный код и получить доступ к конфиденциальной информации. Подобные возможности открывают две критические уязвимости PHP, исправления для которых вышли сегодня. Ошибки затрагивают сам интерпретатор, поэтому под потенциальной угрозой оказались миллионы сайтов, включая ресурсы на WordPress, Drupal и Joomla.

Опасность оказалась настолько серьёзной, что европейские правительства начали самостоятельно отключать сайты. В Нидерландах недоступными стали парламентский портал, системы взаимодействия граждан с государством, сайты больниц и ведомств. Финляндия, Франция и Дания также ограничили работу части государственных платформ. Национальный центр кибербезопасности Нидерландов даже временно отключил собственный ресурс.

Ограничения затронули и крупные интернет-площадки. Wikimedia приостановила вспомогательные сервисы для разработчиков, 4chan отключил публикацию сообщений и авторизацию. При этом подтверждений массового взлома пока нет. Организации закрывают доступ к системам, чтобы не дать злоумышленникам воспользоваться уязвимостями до установки исправлений.

Получился цифровой кризис без подтверждённой волны успешных атак. Две ошибки в распространённом серверном компоненте заставили целые государства перейти к чрезвычайным мерам. Насколько глубока зависимость современного интернета от PHP, стало особенно заметно, когда привычные государственные и коммерческие сервисы начали один за другим исчезать из сети.

Короткий чек-лист

Обновиться до 8.2.35 / 8.3.36 / 8.4.27 / 8.5.12 — единственное полное решение.
До обновления: upload_progress=0 (если функция не используется) и memory_limit=-1 с ограничением post_max_size на фронте; перезапустить воркеры.

Мониторить предупреждения фазы старта запроса («PHP Request Startup: … in Unknown on line 0») — маркер дообновлённой поверхности.
Не применять RLIMIT_AS/RLIMIT_DATA.

К «утёкшим PoC» из соцсетей относиться как к непроверенным до A/B-прогона.

#PHP2Shell, #Уязвимости, #Интернет