Порвали два трояна

Интересные исследования APT и новости ИБ за неделю 🟣 Технический разбор вторжений вымогателей Storm-2603, где через уязвимость ToolShell устанавливали примечательный бесфайловый веб-шелл, который существовал только в памяти ASP.NET runtime. Злоумышленники повышали привилегии при помощи адаптированной техники EfsPotato, злоупотребляли уязвимой сборкой Velociraptor и пытались отключить EDR с помощью BYOVD, прежде чем развернуть шифровальщик Warlock. 🟢 Ещё одна атака на механизм обновлений в китайском IME (инструменте ввода) Sogou. Группа SlippyNunchucks перехватывала запросы DNS, чтобы инфиц…

🔥 Видео и презентации с сотен ИБ-конференций без регистрации и SMS Если вы не поехали в этом или прошлом году на Virus Bulletin, SAS, KazHackStan, CCC, или иную ИБ-конференцию, крупную или мелкую — забирайте в закладки этот сайт. Не знаем, кто его поддерживает, но на infocon.org выложены видео и материалы с двух сотен конференций, большей частью за последние годы. Но, например, Virus Bulletin аж с 1991 (тогда видео не снимали, конечно), а HOPE — с 1994. Есть чем заняться на выходных 😉

🧊 Подводная часть айсберга уязвимостей Во всей истории про «апокалипсис патчей» есть интересный и очень неудобный для крупных бизнесов аспект. Дефектов стало настолько много, что вендоры всё чаще устраняют их, не назначая CVE. В результате баги становятся «невидимы» для типового корпоративного ИБ-конвейера. Отказ назначать CVE может проявляться в разных формах — от risk-based disclosure, как в Cisco вежливо назвали свою новую практику выпуска бюллетеней только для дефектов, которые они сочтут опасными, до молчаливого устранения дефектов и отказа назначать им CVE, которым знамениты Anthropic…

👀 Что делать с опасными сертификатами из цепочки УЦ eMudhra Талантливые люди из индийского УЦ eMudhra умудрились выпустить в 2025 году восемь сертификатов промежуточных CA, приватными ключами в которых служили числа от 4 до 237. Сертификаты, выпущенные на их основе, не так уж многочисленны и преимущественно использовались одним (крупным) клиентом, но вот MITM-атаки с их помощью может проводить любой желающий. 17 октября это обнаружилось — и понеслось. Руководство eMudhra заявило 22 числа о выходе из «глобального бизнеса по выпуску сертификатов TLS» и бесплатном перевыпуске сертификатов на ба…

ИИ-агенты на службе атакующих: инцидент с участием CyberstrikeAI Эксперты Лаборатории Касперского обнаружили вредоносную кампанию, в которой образовательные организации в странах Африки и Латинской Америки были атакованы с помощью С2-агентов, управляемых полуавтономным фреймворком CyberStrikeAI. Злоумышленники автоматизировали значительную часть цепочки атаки, делегировав языковым моделям разведку в сети после первоначальной компрометации, закрепление на дополнительных хостах, массовое похищение учётных данных и другой потенциально ценной информации. На стороне жертвы работает обычный имплан…

☑️Интересные исследования APT, новости ИБ (и никакого Binance) за неделю ❕Технический анализ сложной атаки на цепочку поставок, в которой новое ВПО NethamLoader было внедрено в особую сборку Windows 10, применяемую государственными структурами в Азии. ВПО злоупотребляет легитимным инструментом управления обновлениями Patch My PC, а также компонентами, подписанными Microsoft. Оно также патчит AMSI в памяти для обхода детектирования. Активность пока не атрибутирована. 🟡 APT UAT-11473 эксплуатирует обход аутентификации в контроллере Cisco SD-WAN (CVE-2026-20127) для развёртывания ВПО KeyDrift…

⚡️ Реагирование на инциденты 1С, защита ИИ-агентов имеющимися ИБ-решениями и другие полезные посты октября Разгребая PHP2Shell, мигрируя между ДЦ и устанавливая полторы тысячи патчей Microsoft, можно было пропустить полезные и не сиюминутные материалы нашего канала. Поэтому мы подобрали статьи за месяц, которые помогут выстроить эффективные процессы и системы в ИБ. Если вы что-то пропустили, самое время наверстать упущенное! 🔵 реагирование на инциденты, затрагивающие 1С; 🔵 топ-риски человеческого фактора в 2026; 🟣 как меняется управление уязвимостями: тенденции и советы; 🟢 большой пакет…

🛡 Снижаем ИИ-риски имеющимися инструментами Организациям со зрелой ИБ не обязательно внедрять десяток модных решений, чтобы контролировать риски, связанные с появлением в бизнес-процессах ИИ-агентов. Как мы уже упоминали, ИИ-агенты во многом похожи на инсайдерскую угрозу, а инструменты они используют примерно так же, как атакующие, работающие по тактике LotL. Весь фокус в том,чобы научить традиционные СЗИ отличать деятельность полезного ИИ-агента от активности, порождённой атаками злоумышленников на ИИ-системы. Чтобы решить эту задачу, «Лаборатория Касперского» обновила правила и экспертное…

🤯 Шелл-шок: чему учат PHP2Shell и Brotli Последняя неделя даёт хорошее представление о том, как будет выглядеть управление уязвимостями в эпоху ИИ. PHP2Shell (CVE-2026-109618 и -109619, CVSS 9.2) начался с паники. Детали утекли до релиза, патчи PHP вышли 21 октября, а Amazon заметили попытки эксплуатации ещё 17 октября. Затем ханипоты неделю бомбили миллионами запросов с нейрослопными «эксплойтами» с GitHub, а некоторые боты Mirai безуспешно ломились во все серверы, похожие на PHP. Пару громких заявлений о реальной эксплуатации исследователи потом отозвали. Подтверждённых шеллов за первые т…

📣Что менять в защите КИИ перед 2027 годом Когда: 28 октября 2026 в 11:00 (МСК) Требования к защите критической информационной инфраструктуры растут с каждым годом. К традиционной дилемме «остановить систему или жить без патчей» и вечному вопросу «что отключать при кибератаке» добавляются вопросы категорирования, ответственности, доступа подрядчиков и импортозамещение. Как выбирать меры защиты, организовывать реагирование и проверять восстановление КИИ? Об этом поговорим на  онлайн-конференции AM-Live! Обсудим: ▶️ изменения в требованиях к защите за последний год; ▶️ когда пересматривать р…