Microsoft незаметно исправила 0-day-уязвимость, связанную с файлами LNK

🖥 Эксперты обнаружили, что летом 2025 года компания Microsoft закрыла опасную уязвимость в Windows, которую активно эксплуатировали как минимум 11 хакерских группировок — среди них северокорейские APT и крупные группы вроде Evil Corp. CVE-2025-9491 позволяла злоумышленникам скрывать вредоносные команды внутри файлов LNK и незаметно запускать малварь на скомпрометированном устройстве.

🔵 Корень проблемы заключался в том, как Windows обрабатывает LNK-ярлыки. Злоумышленники заполняли поле Target в файле LNK пробелами, чтобы скрыть вредоносные аргументы командной строки. Дело в том, что свойства файла отображают только первые 260 символов Target-поля, а остальное остается «за кадром». В результате пользователь видит безобидную команду, а при двойном клике на ярлык запускается малварь.

🧬 Хакерские группировки активно пользовались этим трюком. Как выяснили аналитики компании Trend Micro, CVE-2025-9491 эксплуатировали не менее 11 группировок, среди которых: северокорейские APT37, APT43 (она же Kimsuky), Mustang Panda, SideWinder, RedHotel, Konni и киберпреступники из Evil Corp и Bitter.

ЕС оштрафовал социальную сеть X на 140 000 000 долларов

👺 Еврокомиссия оштрафовала социальную сеть X на 120 млн евро (около 140 млн долларов США) за нарушение требований прозрачности по Digital Services Act (DSA). В частности, в ЕС сочли, что платформа Илона Маска вводит пользователей в заблуждение галочками верификации, имеет непрозрачную рекламную базу и затрудняет исследователям доступ к данным.

⚡️ DSA — свод правил, принятых в 2022 году. Он обязывает онлайн-платформы удалять вредоносный контент и защищать пользователей в странах ЕС.

💣 Расследование работы X длилось два года. За это время комиссия проверила, как соцсеть справляется с манипуляциями информацией и распространением нелегального контента. Предварительные выводы были переданы представителям платформы еще в июле 2024 года.

Неисправленная уязвимость в Gogs привела к компрометации 700 серверов

🔥 Уязвимость нулевого дня в популярном сервисе для самостоятельного хостинга Git-репозиториев Gogs позволяет злоумышленникам удаленно выполнять произвольный код, что привело к взлому сотен серверов по всему миру.

🔖 Gogs написан на Go и позиционируется как альтернатива GitLab или GitHub Enterprise. Многие разработчики и компании держат их доступным через интернет для удаленной совместной работы над проектами. Однако это делает такие серверы легкой мишенью для атак, а теперь исследователи зафиксировали масштабную кампанию, эксплуатирующую критическую уязвимость.

⚡️ Проблема получила идентификатор CVE-2025-8110 и связана с path traversal уязвимостью в API PutContents сервиса. Баг позволяет обойти защиту, внедренную для другой RCE-проблемы (CVE-2024-55947), которую разработчики исправили ранее. Как обнаружили специалисты, хакеры научились использовать символические ссылки для перезаписи файлов за пределами репозитория.

В 2026 году Минцифры планирует создать базу IMEI

🖥 Минцифры планирует в 2026 году запустить единую платформу для учета IMEI-номеров всех мобильных устройств в России. Об этом на заседании Общественного совета при ведомстве заявил замминистра Дмитрий Угнивенко.

💬 «Интерфакс» сообщает, что главная цель — борьба с использованием SIM-карт в БПЛА. По замыслу чиновников, привязка IMEI к конкретным номерам позволит точно определять, находится ли SIM-карта в дроне, что в перспективе может помочь ослабить действующий режим блокировок мобильного интернета в приграничных регионах.

🖥 IMEI (International Mobile Equipment Identity) — уникальный 15-значный код, который присваивают каждому устройству с SIM-слотом. В нем зашифрованы данные о производителе, стране, модели и серийном номере девайса. Операторы связи используют этот идентификатор, чтобы определить, какой именно аппарат работает в их сети, и при необходимости отследить его местоположение.

Разработчики WhatsApp заявили, что будут бороться за российских пользователей

💎 Представители WhatsApp (принадлежит Meta, признанной экстремистской и запрещенной в России) заявили, что российские власти пытаются лишить более 100 млн россиян доступа к приватным коммуникациям накануне новогодних праздников. Это заявление компания сделала после повторного предупреждения Роскомнадзора о возможной полной блокировке мессенджера в стране.

➕ 22 декабря сервисы мониторинга «Сбой рф» и Downdetector зафиксировали тысячи жалоб на проблемы в работе WhatsApp в России. По информации СМИ, скорость работы мессенджера в этот день упала на 70-80%. Тогда в Роскомнадзоре (РКН) подтвердили, что это связано с тем, что ведомство постепенно вводит ограничения, «позволяя пользователям перейти на использование других мессенджеров».

🟢 В РКН заявляют, что WhatsApp продолжает нарушать российское законодательство. По данным регулятора, мессенджер используется для организации и проведения терактов на территории России, вербовки их исполнителей, а также мошенничества и других преступлений против граждан.

В результате операции Sentinel в странах Африки арестованы 574 киберпреступника

💣 Интерпол провел международную операцию Sentinel, в ходе которой были арестованы 574 человека и возвращено 3 млн долларов США, похищенных в результате BEC-атак, мошенничества и вымогательства.

👺 Операция проходила с 27 октября по 27 ноября 2025 года при участии правоохранителей из 19 стран мира. За это время были ликвидированы более 6000 вредоносных ссылок и взломано шифрование шести вариантов вымогательской малвари.

💳 Сообщается, что в Сенегале удалось предотвратить BEC-атаку на нефтяную компанию — злоумышленники пытались похитить 7,9 млн долларов через банковский перевод. Счета заморозили до того, как деньги успели вывести.

Свежая уязвимость в MongoDB активно применяется в атаках

🟩 Исправленную на прошлой неделе RCE-уязвимость CVE-2025-14847, также получившую имя MongoBleed, уже эксплуатируют хакеры. ИБ-специалисты предупреждают, что в сети по-прежнему доступно более 87 000 уязвимых серверов.

🟢 Напомним, что проблема в MongoDB, получившая идентификатор CVE-2025-14847, позволяет неаутентифицированным удаленным атакующим выполнять произвольный код на незащищенных серверах и извлекать данные из памяти уязвимых инстансов (включая учетные данные и ключи аутентификации).

📌 Уязвимость была связана с некорректной обработкой расхождений в параметре длины (Improper Handling of Length Parameter Inconsistency), что позволяло выполнять произвольный код и потенциально захватывать контроль над целевыми серверами.

Фальшивый домен для активации Windows заражает пользователей малварью Cosmali Loader

✅ Пользователи обнаружили фальшивый домен, маскирующийся под MAS-утилиту (Microsoft Activation Scripts) проекта Massgrave. Домен использовали для распространения вредоносных PowerShell-скриптов, которые заражали Windows-системы загрузчиком малвари Cosmali Loader.

🤮 Как пишет издание Bleeping Computer, на этой неделе пользователи Reddit начали сообщать (1, 2) о странных всплывающих уведомлениях, появившихся на их компьютерах. Эти уведомления сообщали о заражении системы малварью Cosmali Loader и даже объясняли причину — опечатка при вводе команды активации Windows.

🎁 Как выяснил исследователь, известный под ником RussianPanda, эти сообщения связаны с опенсорсным загрузчиком малвари Cosmali Loader. Ранее этот вредонос уже попадал в поле зрения аналитика GDATA Карстена Хана (Karsten Hahn), который тоже писал о похожих всплывающих окнах

Обнаружены новые версии Android-трояна Mamont, которые распространяются через домовые чаты

🧬 Аналитики компании F6 изучили свежую версию трояна Mamont, который стал главной угрозой для российских пользователей Android. По данным компании, 47% всех скомпрометированных устройств в РФ заражены именно этим вредоносом. Только в ноябре 2025 года ущерб от его атак превысил 150 млн рублей.

🧬 Специалисты рассказывают, что по итогам года этот вредонос выходит на первое место по количеству зараженных устройств и размеру ущерба, обогнав даже NFCGate.

🖥 По данным F6, примерно 1,5% всех Android-девайсов в России имеют следы вредоносных приложений. При выборке в 100 млн устройств получается около 1,5 млн скомпрометированных гаджетов. На долю Mamont приходится 47% из них — то есть около 700 000 зараженных устройств.

Ботнет Kimwolf использует резидентные прокси для заражения устройств

❓ Ботнет Kimwolf (Android-версия малвари Aisuru) уже насчитывает около двух миллионов зараженных хостов. Большинство из них попало под контроль злоумышленников через эксплуатацию уязвимостей в сетях резидентных прокси.

➡️ Исследователи фиксируют рост активности этого вредоноса с августа прошлого года. За последний месяц Kimwolf активизировал сканирование прокси-сетей в поисках устройств с открытым Android Debug Bridge (ADB). Основная цель малвари — Android-приставки и стриминговые устройства, которые допускают неавторизованный доступ через ADB. Впоследствии скомпрометированные системы используются для проведения DDoS-атак, перепродаются в качестве прокси, а также монетизируются через установку приложений со сторонними SDK (вроде Plainproxies Byteconnect).

💎 Напомним, что ботнет Aisuru уже успел прославиться тем, что использовался для проведения крупнейшей DDoS-атаки в истории мощностью 29,7 Тбит/c, которую зафиксировала компания Cloudflare.

СМИ: Роскомнадзор частично блокирует Telegram

🖥 Роскомнадзор частично блокирует Telegram — регулятор замедлил загрузку видео в мессенджере. Об этом «Москве 24» сообщил неназванный источник на телекоммуникационном рынке. Заместитель председателя комитета по информационной политике, информационным технологиям и связи Андрей Свинцов объяснил замедление мессенджера недостаточным сотрудничеством с властями РФ.

🔵 По информации «Москвы 24», пользователи жалуются на медленную загрузку видео в мессенджере. По словам собственного источника издания, это «новые ограничения со стороны РКН».

❓ Позже в беседе с радиостанцией «Говорит Москва» заместитель председателя комитета по информационной политике, информационным технологиям и связи Андрей Свинцов объяснил причину замедления. По его словам, проблемы с видео — это «мягкий намек» руководству Telegram, что пора активнее сотрудничать с российскими властями

Ошибка операторов вымогателя INC позволила восстановить данные 12 организаций

➡️ Специалисты компании Cyber Centaurs смогли восстановить данные 12 американских организаций, ранее пострадавших от атак шифровальщика INC. Исследователи сумели получить доступ к инфраструктуре хакеров, где хранилась информация жертв.

🟢 Эксперты начали расследование после того, как к ним за помощью обратились представители неназванной американской организации, в которой обнаружили активность шифровальщика на production-сервере SQL. Малварь оказалась вариантом RainINC и была запущена из директории PerfLogs, которую обычно создает Windows, однако в последнее время ее все чаще используют операторы программ-вымогателей.

🟩 Во время анализа инцидента исследователи нашли в зараженной системе артефакты легитимного инструмента резервного копирования Restic. Впрочем, в этой атаке злоумышленники им не воспользовались — хищение данных прошло в ходе бокового перемещения. Однако эта находка развернула расследование в другую сторону: от стандартного реагирования на инцидент к анализу инфраструктуры атакующих.