Cynosure // Hack News

CVE-2025-4427 (5.3 CVSS) и CVE-2025-4428 (7.2 CVSS) позволяют выполнять произвольный код без аутентификации.

Уязвимости были исправлены Ivanti на прошлой неделе, но атаки начались ещё 15 мая 2025 года.

Взлом через API
Хакеры атакуют эндпоинт /mifs/rs/api/v2/, получая обратную оболочку (reverse shell).

Загрузка вредоносного ПО
Используется KrustyLoader (Rust-лоадер) для доставки дополнительных payload-ов, например, Sliver C2.

Кража данных из базы EPMM
Через жестко прописанные MySQL-креды злоумышленники получают доступ к данным:
Управляемым мобильным устройствам
Учетным записям LDAP
Токенам Office 365

Разведка и перемещение по сети
Применяются замаскированные shell-команды и Fast Reverse Proxy (FRP) — популярный у китайских хакеров инструмент.

Здравоохранение
Телекоммуникации
Авиация
Финансовый сектор
Государственные учреждения
Оборона

Перемещение между сервисами – злоумышленник может использовать одну уязвимую роль для доступа к другим ресурсам в том же аккаунте.
Эскалация привилегий – например, через подмену шаблонов CloudFormation или скриптов EMR.
Полный контроль – в худшем случае атакующий получает возможность управлять всем аккаунтом AWS.

Вредонос использует команды Redis для внедрения cron-заданий и загружает Go-модуль, устанавливающий майнер XMRig.

Распространяется на другие серверы Redis, расширяя масштабы атаки.

Злоумышленники также запустили веб-майнер Monero, увеличивая прибыль.

HTTPBot использует HTTP-протокол для точечных DDoS-атак, обходя традиционные системы защиты.
Написан на Golang, но атакует Windows-системы, что редкость для ботнетов.
С апреля 2025 года запущено более 200 атак на игровые сервисы, платежные системы и образовательные порталы.

Имитирует легитимный трафик через скрытые сессии Chrome.
Использует HTTP/2 и WebSocket, чтобы увеличить нагрузку на серверы.
Манипулирует куками и сессиями, а не просто заваливает трафиком.

Скрывает интерфейс, чтобы избежать обнаружения.
Прописывается в реестре Windows для автозапуска.
Подключается к C2-серверу и получает команды для атак.

Воздействует на все современные CPU Intel
Позволяет читать кеш-память и оперативную память других процессов
Оценка CVSS: 5.7

Spectre v2-подобные атаки с утечкой данных до 17 Кб/с
Ломают изоляцию между процессами (user-user, guest-host)

Intel Core 9–11 поколений, Xeon 2–3 поколений
Процессоры с архитектурой Lion Cove

Установите микрокод-патчи от Intel (выпущены 13 мая 2025)

Обновите ОС – исправления уже включены в последние версии

Отслеживайте аномальную активность – атаки требуют локального доступа

Затронуто менее 1% клиентов (из 9.7 млн активных пользователей)
Утекшие данные: имена, контакты, частичные реквизиты, сканы документов, история транзакций
Средства и приватные ключи не скомпрометированы

• Злоумышленники использовали финансовые стимулы для доступа к данным
• Сотрудники поддержки, вовлечённые в инцидент (Индия), уволены
• Coinbase опровергает утверждения о длительном доступе злоумышленников

Включите двухфакторную аутентификацию

Активируйте allow-listing для вывода средств

Будьте осторожны с фишинговыми запросами

Пароли, платежные данные и другие личные данные не пострадали.
Утечка могла произойти на уровне операторов связи (SMS передаются в незашифрованном виде).
Использовать старые коды для взлома невозможно.

CVE-2025-4664 позволяет злоумышленникам похищать конфиденциальные данные, такие как учетные данные, с помощью специально созданных HTML-страниц и изображений-ловушек.

1. У злоумышленников есть временные коды, номера телефонов (в основном португальских пользователей) и метаданные сотовых операторов.
2. Основной риск касается бразильцев — в сети появились 53 миллиона уникальных номеров.
3. SteamDB сообщает, что Twilio (партнер Steam по двухфакторной аутентификации) не обнаружил следов взлома.

Утечка не содержит свежих паролей или полных данных аккаунтов.

Наибольший ущерб может быть нанесен пользователям из Бразилии и Португалии.

Двухфакторная аутентификация (Steam Guard) остаётся надёжной защитой.

1. Если ваш номер телефона привязан к Steam, проверьте настройки конфиденциальности.

2. Включите Steam Guard, если ещё этого не сделали.

Valve и партнеры (включая Twilio, отвечающий за двухфакторную аутентификацию) заявляют, что утечка произошла не из их систем.
Возможная причина — сторонняя кибератака, в результате которой злоумышленники получили доступ к данным.

1. Перейдите в настройки безопасности Steam.
2. Смените пароль на новый и более сложный.
3. Включите Steam Guard — это защитит аккаунт от взлома.

59 975 биткоин-адресов (возможно, аффилированных лиц)
4 442 переговора с жертвами о выкупе
Конфигурации атак и логи серверов
Данные 75 администраторов с паролями в открытом виде

Взлом произошел 29 апреля через уязвимость в PHP 8.1.2
На форумах появилось сообщение: «Не занимайтесь преступлениями. xoxo из Праги»
Разработчик LockBitSupp подтвердил утечку, но отрицает компрометацию приватных ключей

Рассылают фальшивые предупреждения о блокировке или нарушении правил
Используют доверенные платформы (GitHub, Firebase), чтобы обойти защиту браузеров — 78% ссылок не блокируются
Крадут логины, пароли, OTP-коды и куки, получая полный доступ к аккаунтам

Мошенники запускают вредоносную рекламу
Получают доступ к платежным данным и клиентской базе

🔒 Входите в аккаунт только через официальный сайт/приложение
🔒 Включите двухфакторную аутентификацию
🔒 Проверяйте URL перед вводом данных

1) Мгновенное определение IP-адреса!
2) Невероятно простая утилита в использовании, а так же с приятными ценами!
3) Информация, которая поможет вам принимать более эффективные решения!