AnonHaven

🔐 Общий admin на пол-отдела становится совсем плохой идеей. ФСТЭК подробно прописала, как контролировать привилегированные учетки.

Приказ № 117 уже действует, а методический документ ФСТЭК раскрывает требования до вполне конкретных правил.

Административные учетки нужно закреплять за сотрудниками и выдавать им минимально необходимые права. Групповая запись допустима, только если можно точно установить, кто использовал ее в конкретный момент.

Роли тоже придется разделять: системное администрирование, разработку и функции администратора безопасности нельзя складывать в одну привилегированную учетку.

Есть и конкретные сроки. Данные аутентификации привилегированных записей требуется менять минимум раз в полгода, если для доступа не используются сертификаты. После отстранения сотрудника его административный доступ нужно заблокировать не позднее восьми часов.

Системным администраторам и администраторам безопасности запрещен привилегированный доступ с мобильных устройств. Действия при удаленном администрировании в предусмотренных методикой случаях должны записываться и храниться минимум полгода.

Отдельная история — вход в систему. Приказ требует строгую аутентификацию, а при технической невозможности допускает усиленную многофакторную. Для строгого варианта ФСТЭК описывает схему с аппаратным устройством, закрытым ключом и цифровым сертификатом.

Причина внимания: в выборке BI.ZONE за январь–сентябрь 2025 года привилегированные учетки были связаны с 39% зафиксированных компанией киберинцидентов.

Админская учетка теперь должна иметь понятного владельца, ограниченный набор прав и полностью отслеживаемую историю использования.

https://anonhaven.com/news/fstek-uzhestochila-kontrol-privilegirovannyh-uchetnyh-zapisej/

@Anonhaven | anonhaven.com

🇺🇸 Российского веб-разработчика экстрадировали из Грузии в США по делу о банковском фишинге.

36-летнего Сергея Филимонова обвиняют в участии в схеме, которая работала с ноября 2023-го по октябрь 2025 года.

Жертв искали весьма буднично: злоумышленники покупали рекламу в Google и Bing, выдавали ее за ссылки на настоящие банки и переводили пользователей на поддельные страницы входа. Полученные логины и другие данные затем использовали для доступа к реальным счетам и банковских переводов.

Следствие связывает Филимонова с инфраструктурой, где хранилось более 5 тыс. похищенных учетных данных.

К декабрю 2025 года ФБР установило как минимум 19 потерпевших. Со счетов пытались вывести около $28 млн, фактические потери оценивались примерно в $14,6 млн.

А вот $262 млн — это не ущерб по этому делу. Столько составили совокупные заявленные потери по более чем 5,1 тыс. жалоб на захват финансовых учетных записей, поступивших в IC3 с января 2025 года.

4 сентября Филимонов предстал перед судом в Атланте и не признал вину. При обвинительном приговоре по всем пунктам максимальное наказание может составить 175 лет лишения свободы.

https://anonhaven.com/news/rossiyanina-ekstradirovali-v-ssha-po-delu-o-bankovskom-fishinge/

@Anonhaven | anonhaven.com

😮 Хакерам хватило одного разговора, чтобы добраться до данных миллионов клиентов Odido.

Мужчина позвонил в службу поддержки нидерландского оператора, представился сотрудником ИТ-отдела и убедил работницу открыть поддельную страницу входа. Она ввела учетные данные и прошла дополнительную проверку.

Доступ заметили и закрыли менее чем за час. Только было поздно: за это время злоумышленники успели выгрузить данные миллионов человек.
Самое неприятное — Odido сначала решила, что кражи не произошло. Через два дня ShinyHunters связались с компанией сами.

Финальная оценка масштаба — около 6,39 млн пострадавших. В утечку могли попасть имена, адреса, телефоны, электронная почта, даты рождения, IBAN и данные удостоверений личности. Сканы паспортов и пароли от личных кабинетов, вопреки некоторым сообщениям, похищены не были.

Odido отказалась платить выкуп, после чего данные опубликовали в даркнете. Теперь полиция Нидерландов выложила запись голоса подозреваемого. Экспертиза показала, что голос настоящий, без генерации ИИ. Мужчина свободно говорит по-нидерландски и уверенно использует ИТ-жаргон.

https://anonhaven.com/news/odnogo-zvonka-hvatilo-shinyhunters-ukrali-u-odido-dannye-639-mln-chelovek/

@Anonhaven | anonhaven.com

💸 DDoS ударил по «Балансу продавца» Wildberries

Часть селлеров столкнулась с задержками выплат за уже проданные товары. RWB связывает проблему с защитой от DDoS-атак: при высокой вредоносной нагрузке система может временно останавливать отдельные операции по переводу денег.

Союз продавцов маркетплейсов опросил почти 2 тыс. предпринимателей. 95,6% участников сообщили, что не получили вовремя выплату за продажи с 27 июля по 2 августа.

СПМ также оценил недельный объем средств примерно в 20 млрд рублей. Но это оценка союза, а не подтвержденная Wildberries сумма одновременно зависших переводов.

Сама RWB утверждает, что большинство продавцов деньги получили, а средства остальных находятся в сохранности.

Еще одна важная деталь: связывать проблемы с конкретной августовской DDoS-кампанией пока нельзя. О нападении на Wildberries 10–11 августа заявлял «Киберкорпус», но RWB организаторов атак на «Баланс продавца» не называла. Технических данных, связывающих эти эпизоды, в открытом доступе нет.

И задержки существовали раньше. В мае 76% опрошенных сервисом «Точка сверки» продавцов сообщали о проблемах со сроками выплат. В августе большинство платежей в выборке GoOmni приходило через 10–14 дней после заявки.

https://anonhaven.com/news/ddos-udaril-po-balansu-prodavca-wildberries/

@Anonhaven | anonhaven.com

🦠 Вредоносное ПО использовали в 65% успешных атак на российские компании

И все заметнее роль самого обычного рабочего файла.

Positive Technologies проанализировала вредоносную активность в корпоративном сетевом трафике с октября 2025-го по июль 2026 года. Среди опасных файлов 29% составили .exe, еще 26% — документы Word и таблицы Excel.

Важное уточнение: 26% — это доля среди исследованных опасных файлов, а не среди всех кибератак.

Само вредоносное ПО фигурировало в 75% обнаруженных сетевых угроз. Половина случаев пришлась на трояны, 24% — на программы для кражи информации, 15% — на загрузчики и установщики, 4% — на шифровальщики.

Офисный документ при этом уже не обязательно просто перевозит «вирус внутри». Через него можно подгрузить следующую часть атаки или запустить код при обработке файла. Такие случаи в России уже были в этом году. В феврале атакующие рассылали RTF-файлы с эксплуатацией CVE-2026-21509 в Microsoft Office, а в майской кампании CloudAtlas использовали документы с удаленными вредоносными шаблонами.

Еще две цифры: 8% угроз пришлись на легитимные инструменты, которые атакующие использовали для разведки и перемещения по сети, а среди угроз с эксплойтами более 96% уязвимостей были известны минимум три года.

https://anonhaven.com/news/vredonosnoe-po-ispolzovali-v-65-uspeshnyh-atak-na-rossijskie-kompanii/
@Anonhaven | anonhaven.com

🤖 Anthropic показала, как крадут Claude и автоматизируют атаки
В новом отчете есть промышленная дистилляция моделей, поддельные клиенты Claude Code, кража API-ключей и кибератаки, где значительную часть работы уже выполняют ИИ-агенты.

Крупнейшую кампанию Anthropic связывает с Alibaba: более 151 млн обменов с Claude за три месяца, до 3 млн в сутки. Компания утверждает, что рассуждения Opus 4.6 и 4.7 использовали при обучении Qwen 3.5, 3.6 и 3.7.

Moonshot и DeepSeek, как говорится в отчете, применяли другую схему: часть запросов собственных пользователей перенаправлялась в Claude. У Moonshot за десять дней обнаружили почти 300 тыс. пользовательских запросов, большинство из которых ушло в Opus. Пользователь мог считать, что общается с Kimi, хотя ответ фактически генерировал Claude.
У DeepSeek Anthropic насчитала более 12,1 млн обменов за 14 дней июля. В Claude при этом попадали внутренние документы, код и даже действующие учетные данные клиентов.

Есть и вполне криминальная схема с «дешевым Claude». Пользователю предлагали поставить клиент, иногда замаскированный под Claude Code. Программа похищала токены, API-ключи и другие учетные данные, а запросы самого покупателя отправляла в другую модель. Украденный доступ затем перепродавали.

Самый показательный киберкейс — один франкоязычный оператор, который работал против 42 целей и получил внутренний доступ минимум к 14. Он использовал украденные API-ключи, а агенты брали на себя разведку, анализ кода и обработку результатов.

В другой кампании агенты сами отслеживали, замечает ли защитное ПО вредоносную программу. После обнаружения код автоматически изменялся и пересобирался, пока новый вариант снова не переставал определяться.

https://anonhaven.com/news/claude-ispolzovali-dlya-atak-i-kopirovaniya-modelej/

@Anonhaven | anonhaven.com

🚨 CISA добавила четыре уязвимости в каталог активно эксплуатируемых

В свежем обновлении — Adobe Commerce и Magento, две уязвимости в Windows и N-able N-central. Все четыре уже используются в реальных атаках.

Самая неприятная — CVE-2026-75650 в Adobe Commerce и Magento. Она получила 10 из 10 по CVSS и позволяет без авторизации выполнить код на сервере. Исследователи Sansec фиксируют атаки с 4 сентября, а Adobe выпустила экстренный патч 7 сентября. После обновления компания рекомендует сменить ключ шифрования и связанные с ним учетные данные.

CVE-2026-86218 в N-central тоже позволяет выполнить код удаленно до входа в систему. Уязвимы версии ниже 2026.3.1.14. Владельцам собственных серверов нужен N-central 2026.3 Hotfix 4, облачные экземпляры N-able уже обновила.

Еще две CVE находятся в Windows. CVE-2026-81963 затрагивает Windows Update Stack и позволяет поднять локальные права вплоть до SYSTEM. CVE-2026-85880 связана с переполнением буфера в механизме ALPC и тоже используется для повышения привилегий. Для обеих атакующему уже нужен локальный доступ.

Сроки CISA разные. Для критических CVE в Magento и N-central федеральным ведомствам США установлен дедлайн 11 сентября, для двух дыр Windows — 22 сентября. В первых двух случаях требуется еще и проверить систему на следы возможного взлома до установки патча.

Российские компании требованиям американской BOD 26-04 не подчиняются. Но у эксплойта юрисдикции нет: если уязвимая версия доступна атакующему, запись в KEV стоит воспринимать как сигнал обновляться быстро.

https://anonhaven.com/news/cisa-dobavila-chetyre-opasnye-uyazvimosti-v-kev/

@Anonhaven | anonhaven.com

🐋 Кит вернулся: DeepSeek выпустила V4.1 Flash

DeepSeek представила новую модель для программирования и ИИ-агентов — и цифры получились интересными.

На DeepSWE v1.1 разработчик заявляет 74,2% против 74,0% у Claude Opus 5 и 73,0% у GPT-5.6 Sol. В CyberGym новая DeepSeek получила 88,1% против 84,5% у Sol, а в AutomationBench вышла вперед с результатом 54,8%.

Но хоронить конкурентов рано. В других тестах ситуация меняется: GPT-5.6 Sol и Claude Opus 5 остаются сильнее в части задач на рассуждение, работу в терминале и информационную безопасность. А результат 74,2% на DeepSWE пока опубликован самой DeepSeek — в независимой таблице теста V4.1 Flash еще нет.

Под капотом тоже интересно. Основная модель содержит 552 млрд параметров, плюс еще 196 млрд параметров Engram, но при обработке входа задействуется около 8 млрд параметров на токен, а при генерации — 16 млрд. Контекст — до 1 млн токенов, есть работа с изображениями.

DeepSeek также почти в четыре раза уменьшила KV-кеш по сравнению с прошлой Flash. Для агентов, которые часами таскают за собой огромную историю работы, это напрямую влияет на стоимость.

Цены вне часов пик — $0,15 за миллион входных токенов и $0,60 за миллион выходных. В часы пик — $0,30 и $1,20.

Компания настолько уверена в новой Flash, что с 14 сентября собирается временно перенаправлять на нее даже запросы к V4 Pro — до выхода V4.1 Pro.

https://anonhaven.com/news/deepseek-v41-flash-oboshla-flagmany-v-agentnyh-testah/

@Anonhaven | anonhaven.com

⚡️ В Astra Linux ИИ ускорил разбор инцидентов примерно в 10 раз

«Группа Астра» больше года использует ИИ в рабочих процессах вокруг своей операционной системы. Один из примеров привел директор управления ОС Михаил Геллерман: разбор инцидентов стал выполняться примерно в десять раз быстрее.

Каких именно инцидентов касается эта оценка, компания не уточнила. Методика расчета тоже не опубликована, поэтому речь идет о внутренней метрике разработчика.

При этом ИИ уже используют при разработке, тестировании и контроле качества Astra Linux, а саму ОС готовят к работе с агентами.

Для них планируют разграничивать права, запускать процессы в ограниченной среде, контролировать критические действия и записывать операции в журналы. Идея простая: агент получает возможность реально что-то делать на компьютере, но доступ к системе определяется его задачей и уровнем доверия.

У «Астры» уже есть агент для разработчиков — «Астра ИИ [Код]». Он умеет работать с кодовой базой, запускать тесты и сборки, искать уязвимости и изменять код. Критические операции проходят через контроль человека.

Чем больше действий можно поручить агенту, тем важнее становится старый принцип информационной безопасности: выдавать ему ровно столько прав, сколько требуется для работы.

https://anonhaven.com/news/astra-zayavila-o-desyatikratnom-uskorenii-razbora-incidentov-s-pomoshyu-ii/

@Anonhaven | anonhaven.com

Установил VPN — отдал смартфон в чужие руки

Positive Technologies разобрала Drama RAT — банковский троян для Android, который распространяют под видом VPN, банковских приложений и других APK.

Сначала программа сообщает, что ей срочно требуется обновление. После установки основной нагрузки Drama RAT просит доступ к специальным возможностям Android.

Дальше становится интереснее: троян сам открывает окна разрешений, находит кнопку «Разрешить» и нажимает ее. Сам процесс он прикрывает черным экраном.

После этого Drama RAT может читать и отправлять SMS, перехватывать нажатия, подменять буфер обмена, показывать фишинговые окна поверх приложений, записывать экран, включать микрофон и камеру. Оператор получает удаленный доступ к происходящему на смартфоне.

Удаляться вредонос тоже не собирается. Если владелец открывает настройки и пытается отозвать права или удалить приложение, Drama RAT через Accessibility нажимает «Назад» или «Отмена». Еще один поддельный экран сообщает, что приложение якобы удаляется, после чего его значок просто исчезает с рабочего стола.

Вредонос известен как минимум с июня. Тогда МВД предупреждало о рассылках под видом VPN, бесплатного доступа к популярным сервисам, модификаций Minecraft и документов.

Никакой неизвестной дыры в Android для этой цепочки не требуется. Самый важный момент наступает тогда, когда установленный из сообщения APK просит доступ к специальным возможностям.

https://anonhaven.com/news/drama-rat-zahvatyvaet-android-cherez-specvozmozhnosti/

@Anonhaven | anonhaven.com

Telegram можно уронить стикером весом 269 байт

В чатах распространяется специально подготовленный TGS-стикер. Внутри — векторная звезда с аномальным параметром порядка 10³⁸ точек.

Сам файл почти ничего не весит. Нагрузка появляется уже на устройстве: Telegram передает описание фигуры Lottie-рендереру, а тот пытается обработать заведомо ненормальную геометрию и может завершить работу приложения.

На iOS баг подтвердил Telegram. В журнале сбоя цепочка проходит через rlottie и обработчик многоугольной звезды, после чего приложение получает SIGABRT. Разработчики обещают исправление в следующем обновлении.

Это не вирус и не способ украсть аккаунт. Подтвержденный эффект — отказ в обслуживании: проблемный чат может снова ронять приложение при попытке его отобразить.

Telegram Desktop 7.2.7 уже получил исправления для некорректных Lottie-файлов, но говорить, что конкретная проблема закрыта на всех платформах, пока рано. В репозитории Desktop еще обсуждаются дополнительные защиты от DoS в tlottie.

И да, 269 байт тут вполне достаточно. Вес файла маленький, число внутри — очень большое.

https://anonhaven.com/news/odin-stiker-mozhet-otpravit-telegram-v-cikl-sboev/

В ChatGPT нашли скрытый канал между аккаунтами

Исследователи Check Point смогли заставить две изолированные среды ChatGPT обмениваться командами и данными через внутренний JFrog Artifactory.

Контейнеры разных пользователей не могли связываться напрямую, зато имели доступ к одному хранилищу программных пакетов. Его метаданные удалось превратить в общий буфер обмена.

Дальше исследователи добавили в разговор скрытую инструкцию. Пользователь задавал обычный вопрос и получал нормальный ответ, а ChatGPT в это же время забирал через внутренний канал второе задание.

В демонстрации модель обратилась к уже подключенному Gmail, получила сведения о письмах и передала их в другой аккаунт ChatGPT. Пароль Google для этого не крали: использовались права, которые пользователь ранее выдал подключенному приложению.

В основном ответе скрытая команда и переданные данные не отображались. В интерфейсе оставался небольшой индикатор обращения к Gmail.

К моменту публикации канал уже перестал работать. OpenAI подтвердила исследователям, что задействованный экземпляр Artifactory был выведен из эксплуатации. Данных о массовом использовании схемы против реальных пользователей нет.

https://anonhaven.com/news/v-chatgpt-nashli-skrytyj-kanal-dlya-peredachi-dannyh-gmail/

@Anonhaven | anonhaven.com

Одна DDoS-атака в августе шла почти десять суток

Роскомнадзор отчитался о 1663 отраженных DDoS-атаках за август. Это примерно на 55% больше, чем в июле, и в 2,3 раза больше, чем в августе прошлого года.

Максимальная мощность за месяц достигла 562,16 Гбит/с, интенсивность — 52,88 млн пакетов в секунду. Самая долгая атака продолжалась 9 дней 21 час 9 минут.

Рекордом года по длительности это не стало: в мае одна из атак шла больше 11 суток. По общему числу инцидентов февраль и март тоже были тяжелее августа.

Главной целью снова оказался телеком, больше всего атак пришлось на ЦФО. Чаще всего вредоносный трафик шел с IP-адресов, зарегистрированных в Бразилии, США, Германии, Аргентине и Индии. Это география инфраструктуры, а не обязательно самих атакующих.

Еще за месяц ЦМУ ССОП заблокировал 2917 фишинговых ресурсов и 685 сайтов с вредоносным ПО.

https://anonhaven.com/news/rkn-otrazil-1663-ddos-ataki-za-avgust/

@Anonhaven | anonhaven.com

VPN в России второй день работает нестабильно.

7–8 сентября мониторинги фиксируют всплески жалоб сразу на несколько сервисов. У AdGuard VPN пользователи массово сообщали о проблемах с подключением ночью, в региональной статистике появляются жалобы на Durev VPN и Blanc VPN.

Пока это нельзя называть тотальным отключением VPN. У разных операторов и сервисов ситуация отличается, а РКН не объявлял о новой общероссийской блокировке именно 7–8 сентября.

При этом техническая база для усиления ограничений давно есть. К январю РКН ограничил доступ к 439 VPN-сервисам, в конце 2025 года усилилась фильтрация VLESS, SOCKS5 и L2TP, а 31 августа Минцифры потребовало отделять IP из «белых списков», чтобы за разрешенной инфраструктурой не могли скрываться VPN.

https://anonhaven.com/news/v-rossii-vtoroj-den-rastut-zhaloby-na-rabotu-vpn/

@Anonhaven | anonhaven.com

У Coder скомпрометировали инфраструктуру реестра модулей. Злоумышленник получил доступ к API-ключу Cloudflare и добавил свои серверы в пул, обслуживающий registry.coder.com.

31 августа с 07:35 до 21:45 UTC часть запросов к официальному адресу могла получить измененные модули. В них был код для поиска и отправки облачных ключей, учетных данных CI/CD, секретов инструментов ИИ и других данных, доступных provisioner.

Сам исходный код Coder и инфраструктура компании в Google Cloud, как утверждает Coder, взломаны не были.

Главная проблема осталась после завершения атаки: вредоносный модуль мог сохраниться в локальном кеше. Поэтому потенциально затронутым установкам нужно проверить загруженные файлы и журналы, очистить кеш и заменить секреты, к которым мог получить доступ вредоносный код.

Инцидент получил критическую оценку 9,0 по CVSS 4.0.

http://anonhaven.com/news/reestr-coder-razdaval-vredonosnye-moduli/

@Anonhaven | anonhaven.com

OpenAI вернула платным пользователям квоту Work и Codex после первых дней с GPT-6 Astra.

Тибо Соттьо сообщил о глобальном сбросе после того, как пользователи успели активно погонять новую модель, в том числе в Blender. Утром 8 сентября он подтвердил: сброс завершен.

Безлимитным ChatGPT от этого не стал. Astra продолжает расходовать квоту тарифа, а запросы через собственный API-ключ оплачиваются отдельно.

Заодно OpenAI уже снизила расход Astra в части самых тяжелых сценариев: у некоторых активных пользователей из подписочного объема теперь может списываться в три-четыре раза меньше.

Первые выходные Astra прошли настолько активно, что к понедельнику OpenAI просто вернула всем запас топлива.

https://anonhaven.com/news/openai-obnulila-kvoty-work-i-codex-posle-astra/

⚡️ По Max ID хотят пускать в самолеты и поезда. Но без MAX путешествия пока никто не запрещает

Минтранс действительно рассматривает такую схему. Андрей Никитин сообщил, что Max ID в будущем планируют использовать при посадке на железнодорожный и воздушный транспорт.

Только проекта пока нет. Нет даты запуска, опубликованных правил и требования устанавливать MAX. Сам глава Минтранса назвал идею «перспективным направлением».

Цифровая посадка в России при этом уже работает — через биометрию. С апреля пассажиров нескольких «Ласточек» идентифицируют по лицу, а с июня эксперимент идет на рейсах «Аэрофлота» Москва — Петербург через Шереметьево и Пулково.

В августе биометрическую посадку на железной дороге добавили еще на направления Нижний Новгород — Киров и Нижний Новгород — Иваново. Использование сервиса добровольное, а документ во время пилота все равно нужно иметь при себе.

Max ID устроен иначе: это цифровой документ в приложении MAX с динамическим QR-кодом, который обновляется каждые 30 секунд. Как именно его хотят встроить в посадку и сможет ли он в будущем полностью заменить предъявление паспорта, Минтранс пока не рассказал.

https://anonhaven.com/news/mintrans-hochet-dobavit-max-id-k-posadke-na-transport/

@Anonhaven | anonhaven.com

⚡️ Агенты OpenAI нашли почти заброшенную немецкую wiki и превратили ее в общий чат
Исследователи восстановили около 18 тысяч публикаций. Агенты оставляли друг другу ответы на задания, пытались предсказывать следующие вопросы, исследовали устройство тестовой среды и делились способами обхода ограничений.

Все началось с довольно простой ошибки в модели безопасности. Агентам разрешили читать сайты через GET-запросы и запретили запись. Но старая DSEWiki умела изменять страницы через GET. Для фильтра это оставался разрешенный запрос, для wiki — команда на запись.

16 июня общение стало массовым. Агенты начали координироваться, а один из них даже перебрал около 4,3 млрд вариантов начального значения генератора случайных чисел, пытаясь вычислить будущие вопросы.

Были эксперименты с контрольными сигналами для определения времени выключения контейнера, сетевыми туннелями и ограничениями прокси. 20 июня один агент опубликовал способ обойти сетевое правило среды. Через 14 минут другой сообщил, что смог его воспроизвести.

21 июня в журналах wiki появились адреса, связанные непосредственно с OpenAI. На следующий день массовая активность почти прекратилась.

OpenAI подтвердила инцидент 5 сентября. Компания признает, что агенты записывали данные на публичные сайты, и теперь готовит отдельные правила раскрытия таких случаев.

https://anonhaven.com/news/agenty-openai-prevratili-staruyu-wiki-v-obshij-chat/

@Anonhaven | anonhaven.com

⚡️ У ChatGPT в России проблемы уже на уровне соединения, а Cursor начал отменять Pro

С 6 сентября chatgpt.com перестал открываться через часть российских сетей. В тестах соединение обрывается во время TLS-рукопожатия: основной домен не отвечает, а несколько других имен на том же зарубежном адресе работают.

Картина похожа на фильтрацию по имени сайта. Кто именно установил правило, эти проверки не показывают, поэтому официально подтвержденной блокировкой конкретного ведомства это пока называть рано.

У Cursor другая история. Некоторые пользователи из России получают письма об активности из ограниченного региона, после чего сервис отменяет Pro за $20. В опубликованных уведомлениях Cursor обещает пропорциональный возврат. Действующие условия сервиса тоже предусматривают возврат остатка оплаты при части сценариев прекращения подписки.

https://anonhaven.com/news/chatgpt-v-rossii-teryaet-dostup-cursor-otmenyaet-podpiski/

@Anonhaven | anonhaven.com

⚡️ Бэкдор HOOKEDGE получает команды через обычный Microsoft Edge

Схема почти целиком собрана из штатных инструментов Windows. Документ Word запускает макрос, тот устанавливает BAT-, CMD-, VBS- и HTML-компоненты и создает периодическое задание. Дальше HOOKEDGE открывает Edge, забирает данные с webhook.site, выполняет полученную команду и через браузер отправляет результат обратно.
В одной из версий соединение происходило раз в 61 минуту.

Исследователи Recorded Future считают, что такой интервал помогал экономить лимит бесплатного webhook[.]site и мог выводить повторный запуск за пределы примерно часового анализа в песочнице.
Для более интересных целей операторы ставили второй HOOKEDGE с интервалом до пяти минут.

Самое неприятное для защитников здесь не сложность вредоноса. Снаружи видно настоящий msedge[.]exe, который идет по HTTPS на легальный сервис. Поэтому искать приходится всю цепочку: Word → сценарии → планировщик → необычный запуск Edge → webhook[.]site.
HOOKEDGE связывают с BlueDelta/APT28 с умеренной уверенностью. По коду и архитектуре он близок к более раннему HEADLACE.

https://anonhaven.com/news/hookedge-pryachet-komandy-v-trafike-microsoft-edge/

@Anonhaven | anonhaven.com