PS.kz - SOC

Дайджест событий в области информационной безопасности с 10 августа по 16 августа 2026 года

Атака выпуска

Согласно Check Point Research, северокорейская группировка Lazarus атакует компании военно-промышленного комплекса Европы и Индии через уязвимости Windows, которые были неизвестны Microsoft на момент атаки. Это не первая уязвимость, "открытая" через жертв Lazarus

Анализ активности ботнетов:

Общий уровень активности вырос на 65%, а активность от источников в РК — вдвое. Рост наблюдается по всем основным группам, самое заметное — всплеск "DNS и NTP" (в 54 раза), усиление атак на веб-сервисы в более чем 7 раз и на файловые протоколы ("FTP и TFTP") на 132%

Взломы, атаки, киберпреступность:

Киберпреступная группировка Jewelbug взламывает государственные органы и военные подразделения на Ближнем Востоке, в Южной и Юго-Восточной Азии. Технический анализ Symantec и Carbon Black

Центральный налоговый орган Франции (DGFiP) выпустил пресс-релиз об утечке данных 678 тысяч человек в результате кибератаки

DDoS-атаки на облачного провайдера Nine нарушили работу мессенджера Threema на 4 часа. Согласно Cloudflare, атаки мощнее терабита в секунду усилились в 5 раз во втором квартале по сравнению с первым

Малварь:

Шифровальщик DeadLock вместо обычного текстового файла с инструкциями по передаче выкупа оставляет жертве локальное веб-приложение с полным функционалом — инструкции, чат с хакером и файловое мини-облако. Анализ от киберразведки Microsoft

Бэкдор PATCHCORD модифицирует ярлыки Windows, чтобы следующий этап был запущенным незаметно и напрямую пользователем. Разбор Acronis TRU

Согласно анализу Unit42, Android-ботнет Kimwolf v7 участвует в DDoS-атаках, которые замаскированы под "обычный" трафик браузеров

Уязвимости:

Microsoft выпустила пакет обновлений, закрывающий 400 уязвимостей, из которых 42 критические, 37 удалённого исполнения кода, и одна проэксплуатирована до закрытия, CVE-2026-68820 (сводка BleepingComputer)

По традиции, в то же время исследователь Nightmare Eclipse выложил эксплоит для новой уязвимости повышения привилегий ShieldBreak в Microsoft Defender, аналогичный RoguePlanet (см. прошлый дайджест)

Компания A Security раскрыла исправленную уязвимость в Zoom, которая позволяла получить контроль над чужими компьютерами через трансляцию экрана (CVE-2026-53413)

Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

Дайджест событий в области информационной безопасности с 3 августа по 9 августа 2026 года

Атака выпуска

Более 400 NPM-пакетов заражены новой версией червя Shai-Hulud (см. прошлый дайджест). В результате взлома разработчика червь изначально попал в 11 пакетов, включая keyv, flat-cache, file-entry-cache, cacheable-request. Так как эти пакеты крайне распространены (до 565 миллионов загрузок в месяц у самого популярного), через проекты других разработчиков червь мог быть скачан от 2 миллиардов раз. Сводка Aikido

Анализ активности ботнетов:

Наблюдается падение активности по всем разделам — общий объём снизился на 43%, активность от источников в РК на 88%, атаки на веб-сервисы на 83%. Показатели в основном возвращаются в норму после повышенной активности на прошлой неделе, за исключением веб-сервисов — они упали по сравнению с нормой

Взломы, атаки, киберпреступность:

В городе Суисун Сити в американской Калифорнии объявлено чрезвычайное положение — кибератака вывела из строя системы полиции, пожарную службу, диспетчерскую 911 и муниципальные службы

Группировка ExfilSquad утверждает, что украла данные о 135 тысячах контактов британских полицейских и других специалистов, связанных с правоохраной. Сводка BleepingComputer

Заявление OpenAI о непреднамеренной атаке на HuggingFace (см. прошлый дайджест) вызвало сообщения об опасном поведении агентов от конкурентов — ИИ от Anthropic (Claude) и Meta взломали как минимум по одной организации. Сводка CBS News

Малварь:

Троян FDMTP следит за тем, чтобы на компьютере не был запущен игровой клиент Steam — атакующие заинтересованы только в корпоративных целях и не хотят лишнего риска от "обычных" пользователей, согласно Fortinet

Уязвимости:

Компания pwn.ai раскрыла уязвимость XSS2Shell в WordPress, позволяющую исполнение произвольного кода (CVE-2026-64638)

Исследователи Массачусетского технологического института обнаружили уязвимости TONTOU в процессорах Intel и AMD, позволяющие утечку данных

Эксперты Tencent расширили список уязвимостей повышения привилегий в Linux (см. прошлый дайджест) — SCTPhantom (CVE-2026-64564) появился в ядре 18 лет назад

Уязвимость Zapscape в KVM (CVE-2026-64561) позволяет атакующему исполнять код с правами root на хосте, осуществляя "побег из контейнера", причём и на Intel, и на AMD. Исследователь Hyunwoo Kim выложил неполный эксплоит как демонстрацию, продолжая свою серию уязвимостей KVM (см. прошлый дайджест)

Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

Дайджест событий в области информационной безопасности с 27 июля по 2 августа 2026 года

Атака выпуска

Согласно Лаборатории Касперского, неизвестная группа атакует правительственные организации в Казахстане, Кыргызстане, Таджикистане, Узбекистане, Сирии и Афганистане. Технический анализ

Анализ активности ботнетов:

Активность растёт — на 39% в общем, на 56% от источников в РК, также заметно усиление на 67% раздела "FTP и TFTP". Исключения — веб-сервисы (-54%) и "DNS и NTP" (-27%)

Взломы, атаки, киберпреступность:

Более 88 миллионов долларов в криптовалюте украдено с аппаратных кошельков бренда Coldcard — из-за ошибки при разработке устройства генерировали предсказуемые ключи, и хакеры начали их подбирать. Сводка The Hacker News

Неизвестные взломали более 30 коммунальных организаций обработки воды в американском штате Миннесота. Сводка BleepingComputer

Малварь:

Троян Fuyao предустанавливается на ТВ-приставки и следит за тем, используется ли приставка: если она подключена к телевизору, приставка работает как вредоносный прокси, а если не подключена — "нажимает на объявления" за деньги с помощью встроенной ИИ-модели, описывает BitSight

Ботнет Tengu пытается вычислить, анализируют ли его, через подсчёт процессорных циклов — он закрывается, если прошло больше 500.000 циклов, ведь это указывает на торможение средствами анализа. Анализ Nozomi Networks

Уязвимости:

В менеджере репозиториев Artifactory исправлена серия уязвимостей, которую эксплуатировал агент OpenAI во время инцидента с HuggingFace (см. прошлый дайджест)

Новую уязвимость в Linux раскрыли StarLabs — CVE-2026-53264 позволяет повышение привилегий через модули ядра act_gact и cls_flower

В новом пакете обновлений от VMware закрываются уязвимости ESX, Cloud Foundation, vCenter, vSphere, Workstation и других продуктов, включая 3 критические

В Ruby on Rails Active Storage закрыта критическая уязвимость CVE-2026-66066, позволяющая кражу данных через загрузку картинок

Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

Дайджест событий в области информационной безопасности с 20 июля по 26 июля 2026 года

Атака выпуска

Атака на ИИ-платформу Hugging Face (см. прошлый дайджест) оказалась проведена GPT от OpenAI. В рамках внутреннего тестирования по бенчмарку ExploitGym агент был помещён в недостаточно изолированную среду и с него была снята часть защиты от агрессивных действий. В итоге агент определил, что оптимальный путь решения задачи — попробовать взломать Hugging Face и посмотреть там ответы на ExploitGym. Пресс-релиз OpenAI

Анализ активности ботнетов:

Наблюдается усиление активности по многим разделам — общий объём вырос на 28%, активность ботнетов внутри РК усилилась более чем в 6.5 раз, как и атаки на веб-сервисы — тоже примерно в 6.5 раз, с пиками из Франции и Сингапура. Единственный раздел, по которому наблюдается спад — почтовые сервисы (-29%)

Взломы, атаки, киберпреступность:

Южнокорейская национальная дипломатическая академия была взломана неизвестными, утекли 10.000 записей о сотрудниках МИД Республики Корея, согласно JoongAng Daily

Цепочка уязвимостей wp2shell в Wordpress начала активно использоваться для атак после того, как эксплоиты появились в Сети. Сводка BleepingComputer

Малварь:

Компания Island обнаружила кампанию AgentBaiting — более 7600 репозиториев распространяли троян FakeGit, в том числе через вредоносные инструкции для ИИ

Эксперты Cisco Talos описывают ВПО msaRAT — оно способно связываться с управляющим сервером не напрямую, а открывая невидимый пользователю браузер, таким образом маскируясь под действия пользователей

Для того, чтобы быть менее заметным, троян SectopRAT доставляется на компьютер в зашифрованном виде, а расшифруется с помощью шейдера компьютерной графики SM5, который системы защиты обычно не поддерживают. Анализ Huntress

Уязвимости:

В Linux-системах исследователи Qualys нашли две уязвимости повышения привилегий: RefluXFS (CVE-2026-64600) в файловой системе XFS и CVE-2026-8933 в snap-confine в дистрибутиве Ubuntu

Выложен эксплоит для уязвимости Certighost, позволяющей захватить контроллер домена Active Directory, имея только учётную запись. Уязвимость (CVE-2026-54121) закрыта в пакете обновлений на прошлой неделе (см. прошлый дайджест)

Компания Oracle выпустила массивный пакет обновлений для 1449 уязвимостей, включая уязвимости в MySQL, Java SE, VirtualBox и других продуктах

Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

Дайджест событий в области информационной безопасности с 13 июля по 19 июля 2026 года

Уязвимость выпуска

В NGINX раскрыта уязвимость CVE-2026-42533 — использование определённых инструкций и регулярных выражений в конфигурационных файлах создаёт возможность перезагрузить worker-процессы NGINX или достичь исполнения произвольного кода

Анализ активности ботнетов:

Объём активности растёт — суммарный показатель вырос на 21%, атаки на почтовые сервисы — на 60%, а раздел "DNS и NTP" почти в 2 раза. Единственный заметный провал — -77% атак на веб-сервисы. Активность внутри РК остаётся примерно на том же уровне (-2%)

Взломы, атаки, киберпреступность:

Хакер ByteToBreach взломал кадастр Румынии и стёр реестр целиком, согласно Risky Bulletin

ИИ-платформа Hugging Face сообщила, что была взломана неопознанным ИИ-агентом, в результате получен доступ к внутренним данным. Обнаружил атаку тоже ИИ-агент, на стороне защиты

Согласно TechCrunch, в начале конфликта между Ираном и США иранские специалисты использовали уязвимости в сотовых сетях, чтобы обнаружить американских военных. Мобильные сети уже неоднократно использовались для вскрытия местонахождения абонентов разными разведками

Малварь:

Шифровальщик Spirals не только отключает Windows Defender, но и откатывает его антивирусные сигнатуры до последней контрольной точки, чтобы даже в случае включения он был менее опасен для вируса. Анализ Symantec и Carbon Black

Вирус ClickLock не даёт открыться на экране никакому другому окну или компоненту, кроме себя, согласно Group-IB. Это создаёт у пользователя впечатление безвыходности, нельзя сделать ничего, кроме как отдать свой пароль от хранилища паролей

Уязвимости:

Microsoft выпустила рекордный пакет обновлений для 627 уязвимостей, из которых 59 критические и 48 — исполнения произвольного кода

Сразу после выхода обновлений враждебный к Microsoft исследователь Nightmare Eclipse выложил эксплоит для новой уязвимости LegacyHive, позволяющей повышение привилегий, согласно BleepingComputer. Это уже не первый раз, когда он намеренно создаёт компании проблемы (см. прошлый дайджест)

В Wordpress закрыли две уязвимости, которые вместе могут быть использованы для исполнения произвольного кода, цепочка названа wp2shell

Okta раскрыла уязвимость HollowByte в OpenSSL, которая позволяет непропорционально нагружать сервер и потенциально вызывать отказ в обслуживании

Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

Дайджест событий в области информационной безопасности с 6 июля по 12 июля 2026 года

Уязвимость выпуска

Уязвимость GhostLock (CVE-2026-43499) ядра Linux позволяет злоумышленнику повысить права до root. Эта уязвимость полноценно закрывается только патчингом или обновлением, которое доступно не для всех дистрибутивов, в то время как эксплоит доступен в интернете. Сводка TheHackerNews

Анализ активности ботнетов:

Общий уровень активности снизился на 22%, а активность внутри РК упала в 10 раз. Также заметно падение атак на файловые протоколы ("FTP и TFTP", -43%). Интересны также большие короткие всплески запросов по веб-сервисам, объём вырос почти в 3.5 раза

Взломы, атаки, киберпреступность:

Согласно Proofpoint, группа UNK_MassTraction проводит кибершпионаж в интересах Китая — взломаны несколько почтовых серверов Roundcube американских и канадских университетов, в частности инженерные и физические подразделения

Международная компания Accenture подтвердила BleepingComputer взлом, в результате которого, как утверждается на хакерских форумах, у них выкачали 35 гигабайт кода, конфигураций, паролей и других конфиденциальных данных

Малварь:

Исследователи StepSecurity описывают троян в пакетах для блокчейна Injective, который был намеренно перезаписан новой "чистой" версией злоумышленниками меньше чем через час после появления

Android-троян RedHook получает дополнительные права на устройстве, закрывая настоящий экран от пользователя и настраивая всё через экран как пользователь, эмулируя нажатия. Анализ Group-IB

Ботнет LONGLEASH захватывает роутеры через уязвимости, чтобы предоставлять злоумышленникам прокси-сеть, но, если его пытаются анализировать, самоудаляется, сообщает Cisco Talos

Уязвимости:

Уязвимость Januscape в KVM (CVE-2026-53359) позволяет атакующему исполнять код с правами root на хосте, осуществляя "побег из контейнера", причём и на Intel, и на AMD. Исследователь Hyunwoo Kim выложил неполный эксплоит, позволяющий вызвать kernel panic, но не дающий исполнение кода. Сводка BleepingComputer

Microsoft закрыла уязвимость RoguePlanet в Microsoft Defender (CVE-2026-50656), которая позволяла повышение привилегий до системных. Ранее её выложил без предупреждения исследователь под псевдонимами Chaotic Eclipse и Nightmare Eclipse, враждебный к компании (см. прошлый дайджест)

Раскрыты две уязвимости в OpenClaw, позволявшие исполнение произвольного кода — OpenClaw слишком доверчив. В текущей версии они исправлены. Анализ от Chinmohan Nayak

Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

Дайджест событий в области информационной безопасности с 29 июня по 5 июля 2026 года

Уязвимость выпуска

Уязвимость Bad Epoll (CVE-2026-46242) позволяет злоумышленнику с учётной записью повысить привилегии до администратора (root). В отличие от похожих ранних уязвимостей (см. прошлый дайджест), отключение уязвимого модуля невозможно, полноценно помогает только обновление, а доступны обновления не для всех дистрибутивов. Сводка The Hacker News

Анализ активности ботнетов:

Общая активность увеличилась на 10%, а от источников в РК - на 28%. Наблюдается всплеск активности по файловым протоколам ("FTP и TFTP" — +74%). При этом атаки на почтовые сервисы снизились на половину, а активности типа "DNS и NTP" практически не наблюдается (-98%)

Взломы, атаки, киберпреступность:

Согласно NextGov, хакеры проникли во внутреннюю систему Министерства внутренней безопасности США, предназначенную для работы с чувствительной незасекреченной информацией

Компания Sysdig обнаружила JADEPUFFER — первую операцию по кибервымогательству, полностью автоматизированную с помощью ИИ. Эксперты утверждают, что ИИ сам нашёл точку входа, произвёл взлом, написал ВПО и зашифровал инфраструктуру жертвы. Файлы не подлежат расшифровке из-за ошибки в сгенерированном ИИ коде

ФБР, Lumen и Google нарушили работу вредоносной прокси-сети NetNut. Киберразведка Google подсчитывает, что миллионы устройств стали недоступны злоумышленникам

Малварь:

Специалисты Microsoft описывают вредоносное расширение для браузеров на базе Chromium для добавления ИИ-поисковика Perplexity в поисковую строку. Оно работает, но крадёт все запросы во все поисковики, которые проходят через поисковую строку

Троян ChocoPoC обнаружили в репозиториях GitHub под видом Proof-of-Concept-эксплоитов, нацеленных на специалистов по безопасности. Статья Sekoia

Уязвимости:

Эксперты LayerX описывают уязвимость BioShocking в ИИ-браузерах — если определённым образом нарисовать для ИИ "альтернативную картину мира" с помощью заведомо абсурдных утверждений типа "2+2=5", ИИ становится готов исполнять произвольные команды из недоверенных источников

Компания Synactiv раскрыла уязвимость в Argo CD, позволяющую исполнение произвольного кода

Исследователи Adversa описывают класс уязвимостей GuardFall в открытых ИИ-агентах. Успешная атака на агента через такую уязвимость приводит к исполнению произвольного кода с правами агента

Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

Дайджест событий в области информационной безопасности с 22 июня по 28 июня 2026 года

Уязвимость выпуска

Компания JFrog обнаружила критическую уязвимость PixelSmash (CVE-2026-8461) в ПО обработки видео FFmpeg, которая позволяет повесить или захватить сервер, просто загрузив видеофайл. FFmpeg используется практически во всех продуктах, которые позволяют любые операции с видео

Анализ активности ботнетов:

Наблюдается спад активности по почти всем разделам — общий объём упал на 57%, также заметно падение по разделам "FTP и TFTP" (-61%), "DNS и NTP" (-59%) и "SSH и Telnet" (-57%)

При этом активность внутри РК увеличилась более чем в 6 раз за счёт короткого всплеска запросов от одного IP по файловым протоколам

Взломы, атаки, киберпреступность:

Рынок прогнозов Polymarket подвергся атаке через подрядчика — на сайт был добавлен вредоносный код, с помощью которого хакеры перенаправили к себе в кошельки около 3 миллионов долларов в криптовалюте. Сводка BleepingComputer

Фирма кибербезопасности Push Security описывает атаку "Poisoned Tenant", которую пытались провести и против них:

1) Создать в ChatGPT "организацию", например, "Рога и Копыта"
2) Пригласить туда сотрудников настоящих "Рогов и Копыт"
3) Собирать информацию, включая данные из интеграций ChatGPT с корпоративными сервисами

Малварь:

Бэкдор Gaslight содержит в своих файлах 38 фейковых ИИ-запросов, направленных на анализаторы на базе ИИ — по задумке анализатор должен отказаться обрабатывать файл с инструкциями, соответствующими его внутренним запретам. Анализ SentinelOne

Червь Miasma / Mini Shai Hulud (см. прошлый дайджест) устанавливает жертве ПО управления пакетами Bun — он мог бы пользоваться более популярным Node.JS, но его более внимательно мониторят средства безопасности, согласно Socket

Команда поиска угроз Symantec описывает ВПО Mistic, который заражает систему через Microsoft Defender

Шпионское ПО STOCKSTAY, обнаруженное группой киберразведки Google, связывается с управляющими серверами только с 9 до 18 по будням по местному времени, чтобы маскироваться под активность жертвы

Уязвимости:

Исследователи раскрыли две уязвимости в ядре Linux, позволяющие повысить привилегии до супер-пользователя. Одна (DirtyClone, CVE-2026-43503) из класса Dirty Frag (см. прошлый дайджест), для другой (pedit COW, CVE-2026-46331) выпущены обновления не для всех дистрибутивов, для устранения может требоваться донастройка

Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности

Дайджест событий в области информационной безопасности с 15 июня по 21 июня 2026 года

Атака выпуска

Более 86 тысяч устройств Fortinet старых версий были взломаны по всему миру, а логины и пароли утекли в Интернет. Сводка об инциденте FortiBleed от HackerNews, свежая оценка количества жертв от SOCRadar

Анализ активности ботнетов:

Общий объём запросов увеличился на 35%, но от источников в РК — уменьшился в 8 раз. Существенные изменения демонстрируют только два типа активности — протоколы управления ("SSH и Telnet", +121%) и веб-сервисы (-31%)

Взломы, атаки, киберпреступность:

Международная рабочая группа киберполиции отключила 106 вредоносных серверов и доменов, а также очистила почти 15 тысяч сайтов в рамках операции Endgame

В американском штате Техас расследуют потенциальные взлом и утечку 3 миллионов записей о гражданах, согласно BleepingComputer

Малварь:

Вредоносные обои распространяются через игровую систему Steam — геймеры полагаются на то, что крупная платформа сможет защитить пользователей, а файлы обоев оказываются троянизированными EXE-файлами. Анализ Лаборатории Касперского

Специалисты Varonis обнаружили у ВПО технику GhostTree, которая позволяет использовать особенности файловой системы NTFS для обхода антивирусов

Вирус Crypto Clipper подменяет документы на флэшках на Windows-ссылки на себя, чтобы заразить новые компьютеры и перехватывать из буфера обмена ключи и пароли от криптокошельков, согласно киберразведке Microsoft

Эксперты ESET обнаружили модуль GentleKiller, которому известно более 400 средств защиты, которые он пытается отключить

Уязвимости:

Для NGINX вышли обновления, закрывающие уязвимости CVE-2026-42530 (протокол HTTP/3) и CVE-2026-42055 (протоколы HTTP/2 и GRPC). Обе уязвимости позволяют вызвать отказ в обслуживании. Сводка BleepingComputer

Apple закрыла уязвимость CVE-2025-20701 в беспроводных гарнитурах Beats, позволяющую подслушивать динамик и микрофон

Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности