Подслушано ИИ

🛡️ Дайджест кибербезопасности — 6 июня 2026

🔥 TOP-5 главных новостей

🐛 IronWorm: Rust-червь атакует npm — коммиты под именем «claude», крадёт ключи Anthropic и OpenAI

JFrog обнаружил IronWorm в 50+ отравленных npm-пакетах через аккаунт «asteroiddao»: Rust ELF-бинарник крадёт 86 переменных окружения включая ключи Claude, OpenAI, AWS, Kubernetes и Exodus-кошельки, и самовоспроизводится через GitHub — внося коммиты под именем автора «claude». 36 пакетов суммарно набрали 32 000 ежемесячных загрузок до нейтрализации. 🔗 thehackernews.com · ox.security

🎩 The Gentlemen: быстрейший рост в истории RaaS — 90% аффилиатам, 320+ жертв, панель написана с AI за 3 дня

The Gentlemen предлагает 90% выкупа аффилиатам против отраслевых 80%, переманивая операторов из Qilin и LockBit; более 200 из 320+ жертв атакованы в январе-марте 2026, группа занимает #2 в мире по объёму. Утечка внутренних чатов показала: администратор zeta88 написал весь RaaS-панель за три дня с AI-ассистентами и лично участвует в атаках в реальном времени. 🔗 halcyon.ai · blog.checkpoint.com · nationaltechnology.co.uk

🛒 Magento CVE-2026-45247 (CVSS 9.8): RCE через PHP object injection — CISA добавила в KEV

CISA добавила CVE-2026-45247 в KEV после подтверждения активной эксплуатации: уязвимость в Mirasvit Full Page Cache Warmer позволяет неаутентифицированному атакующему выполнить произвольный код через небезопасную десериализацию PHP-объекта в Magento 2 и Adobe Commerce. Исправлено в версии 1.11.12. 🔗 thehackernews.com · vulert.com

🎙️ SafeBreach: Gemini голосовой ассистент взломан через уведомления WhatsApp, Slack и SMS

Атака Fake Context Alignment внедряет скрытые инструкции в контекст Gemini через уведомления мессенджеров — в том числе командами на иностранных языках в muted hyperlinks, которые ассистент обрабатывает, но не зачитывает вслух; продемонстрировано управление умным домом и…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-6-ию/

🛡️ Дайджест кибербезопасности — 4 июня 2026

🔥 TOP-5 главных новостей

💣 HTTP/2 Bomb CVE-2026-49975: один запрос кладёт 32 ГБ памяти сервера — 880 000 уязвимых серверов

Атака комбинирует HPACK compression bomb и Slowloris-style hold с коэффициентом усиления 5 700:1 — затронуты NGINX, Apache, IIS, Envoy и Cloudflare Pingora. NGINX пропатчен в апреле, Apache в конце мая, IIS и Envoy на момент раскрытия 3 июня без патча. Примечательно: атаку обнаружил OpenAI Codex, объединив два приёма, известных десятилетие, которые ни один человек не догадался скомбинировать. 🔗 securityweek.com · thehackernews.com

🤖 Sophos: ransomware-тулкит собран с Cursor и Claude Opus — обходит EDR CrowdStrike, Sophos и Microsoft

AI-агенты использовались для написания кода, анализа bypass-техник из security research и тестирования малваря в виртуальных средах против трёх EDR-платформ. Тулкит включает Cobalt Strike, Telegram C2 и Cloudflare Worker для сокрытия инфраструктуры. 🔗 bleepingcomputer.com · helpnetsecurity.com

🌐 Kirki CVE-2026-8206 (CVSS 9.8): 500 000 WordPress-сайтов под атакой — admin одним запросом

Уязвимость в функции сброса пароля Kirki позволяет неаутентифицированному атакующему направить reset-ссылку на собственный email и захватить любой аккаунт включая администратора — Wordfence заблокировал 222+ атак за первые 24 часа. Обновитесь до версии 6.0.7 немедленно. 🔗 bleepingcomputer.com · securityweek.com

🪟 Windows Search URI: NTLMv2-хеш утекает одним кликом — Microsoft отказалась исправлять, CVE не присвоен

Обработчик search: URI Windows передаёт параметр crumb=location: без валидации на UNC-путь атакующего — тот же класс бага что CVE-2026-33829, хеш уходит до появления предупреждения. Microsoft закрыла отчёт как «ниже планки для исправления», CVE не присвоен, патча нет. Митигация: заблокировать исходящий SMB (TCP/445), включить SMB signing. 🔗 huntress.com · thehackernews.com

📈 Кибершпионаж…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-4-ию/

🛡️ Дайджест кибербезопасности — 3 июня 2026

🔥 TOP-5 главных новостей

🔑 Dashlane: брутфорс 2FA привёл к скачиванию зашифрованных хранилищ 20 пользователей

31 мая 2026 года внешний атакующий запустил брутфорс-атаку против аккаунтов Dashlane с целью взлома двухфакторной аутентификации и регистрации новых устройств; высокий объём попыток автоматически заблокировал атакованные аккаунты через встроенные защитные механизмы. В результате атаки злоумышленнику удалось скачать копии зашифрованных хранилищ менее чем 20 пользователей персонального плана — Dashlane напрямую уведомила каждого из них. Хранилища зашифрованы и без мастер-пароля недоступны — но сам факт атаки на менеджер паролей остаётся тревожным прецедентом. 🔗 support.dashlane.com · bleepingcomputer.com · securityweek.com

📱 Android CVE-2025-48595: Google выпустил июньские патчи — zero-day активно эксплуатируется в таргетированных атаках

Google выпустил июньские патчи для Android, устраняющие 124 уязвимости, включая высокосерьёзный CVE-2025-48595 в компоненте Framework — целочисленное переполнение, позволяющее злоумышленнику эскалировать привилегии без взаимодействия с пользователем и получить полный доступ к устройству и данным. Уязвимость затрагивает Android 14, 15, 16 и 16 QPR2 и уже активно используется в ограниченных таргетированных атаках — вероятно, через вредоносные приложения. 🔗 helpnetsecurity.com · thehackernews.com

🤖 Project Glasswing: Anthropic расширила доступ к Mythos до 150 новых организаций — энергетика, вода, здравоохранение, ENISA

Anthropic расширила Project Glasswing, предоставив доступ к Claude Mythos Preview примерно 150 новым организациям в более чем 15 странах; новая волна охватывает сектора, не представленные в первоначальной когорте — энергетику, водоснабжение, здравоохранение и телекоммуникации. Среди добавленных организаций — Okta, Samsung, SK Hynix, NATO и европейское агентство ENISA; всего с апреля 50 ранними партнёрами найдено 10 000+ уязвимостей высокой и критической степени. 🔗 cybersecuritydive.com · securityweek.com · darkreading.com

🐛…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-3-ию/

🛡️ Дайджест кибербезопасности — 2 июня 2026

🔥 TOP-5 главных новостей

🤖 LLMShare: ChatGPT share-ссылки используются для фейковых страниц сбоя OpenAI — малварь с легитимного домена chatgpt.com

Кампания LLMShare, обнаруженная Push Security, использует Google Ads для направления пользователей на вредоносную ChatGPT shared page на chatgpt.com: атакующие создали кастомную HTML-страницу через ChatGPT rendering и опубликовали через shared ссылку chatgpt.com/s/, отображая фейковое уведомление о сбое с призывом скачать «десктопное приложение». Параллельно зафиксированы атаки через Claude Artifacts (ClickFix-лурки) и shared Grok-чаты — атакующие систематически злоупотребляют AI-платформами как доверенной инфраструктурой для доставки малваря. Домен реальный, URL легитимный — стандартные фильтры не срабатывают. 🔗 bleepingcomputer.com · ghacks.net Techzine GlobalThe Hacker News

🪟 Windows Netlogon CVE-2026-41089 (CVSS 9.8): активная эксплуатация RCE на доменных контроллерах — бельгийский CCB предупреждает

CVE-2026-41089 — stack-based buffer overflow в Windows Netlogon: неаутентифицированный атакующий выполняет произвольный код на доменном контроллере через специально сформированный сетевой запрос без каких-либо учётных данных; уязвимость затрагивает все поддерживаемые версии Windows Server включая 2025. 1 июня CCB предупредил об активной эксплуатации: «CVE-2026-41089 внутри уже скомпрометированного периметра становится быстрым путём к захвату всего леса». Пропатчено в майском Patch Tuesday — немедленно применить на всех доменных контроллерах. 🔗 bleepingcomputer.com · helpnetsecurity.com SnykThe Hacker News

🇮🇷 Black Shadow / Ababil of Minab: Gambit раскрыл полный масштаб деструктивной кампании — LA Metro, Израиль, Турция, Саудовская Аравия

Gambit Security установила: Ababil of Minab является прикрытием для Black Shadow, атрибутированной INCD к MOIS; кампания затронула организации в США, Израиле, Турции, Саудовской Аравии — большинство жертв не были публично раскрыты атакующими. Атакующие запускали Python-скрипт main.py, принудительно дропавший все базы данных на 58…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-2-ию/

🛡️ Дайджест кибербезопасности — 1 июня 2026

🔥 TOP-5 главных новостей

🤖 Shadow Builders: 380 000 vibe-coded приложений в открытом доступе — 2 000 корпоративных сливают данные прямо сейчас

Red Access обнаружила более 380 000 публично доступных веб-приложений, созданных через vibe-coding платформы; около 5 000 выглядят корпоративными, более 2 000 из них содержат чувствительные корпоративные, операционные или персональные данные — открытые в интернете без базовых средств контроля доступа, зачастую предоставляющие admin-доступ по умолчанию любому, кто дошёл до URL. Shadow AI перестал означать просто «сотрудники вставляют данные в ChatGPT» — теперь это сотрудники, строящие полноценные приложения с AI, подключающие их к production-системам и публикующие в интернете без участия IT и безопасности. Gartner прогнозирует рост дефектов ПО на 2 500% к 2028 году из-за prompt-to-app подходов. 🔗 thehackernews.com · venturebeat.com · techgines.com WizGitHub

🏦 Sicoob.Sdk NuGet + 14 npm-пакетов: банковские PFX-сертификаты и CI/CD-секреты уходят на сторонний Sentry

Вредоносный NuGet-пакет Sicoob.Sdk (версии 2.0.0–2.0.4), загруженный почти 500 раз, молча экфильтрировал client ID, PFX-сертификаты и пароли к хардкодированному Sentry-эндпоинту при каждой инициализации SicoobClient с production-учётными данными. Параллельно Microsoft Defender Security Research Team обнаружила 14 вредоносных npm-пакетов, тайпсквоттирующих OpenSearch, ElasticSearch, DevOps и environment-config библиотеки для сбора AWS-ключей, HashiCorp Vault-токенов и CI/CD-секретов через preinstall hook — все опубликованы одним актором «vpmdhaj» 28 мая 2026 года. Атака на банковскую инфраструктуру через DevOps-инструментарий — прямое продолжение паттерна TrapDoor и Mini Shai-Hulud. 🔗 thehackernews.com SecurityWeekSecurityWeek

🇷🇺 GREYVIBE: новая российская группа атакует Украину с AI-powered кибератаками

Задокументирована новая российская группа GREYVIBE, использующая AI для автоматизации кибератак против украинских организаций. После Turla P2P-ботнета и FrostyNeighbor с геофенсингом — третья…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-1-ию/

🛡️ Дайджест кибербезопасности — 30 мая 2026

🔥 TOP-5 главных новостей

📡 ShinyHunters слили данные Charter/Spectrum после отказа платить — 13 млн клиентов в открытом доступе

ShinyHunters атаковали Charter 1 апреля через вишинг — позвонили сотруднику, представились IT-поддержкой и получили учётные данные Microsoft Entra; через скомпрометированный аккаунт вошли в Salesforce-инстанс и экспортировали записи клиентов с именами, адресами, email-адресами, номерами телефонов и данными о тарифных планах. После того как Charter не вышла на переговоры до дедлайна 27 мая, ShinyHunters опубликовали данные с привычным сообщением для организаций, отказавшихся платить. Charter обслуживает 32+ млн клиентов под брендом Spectrum — крупнейшая публичная телеком-утечка 2026 года.
🔗 The Register · CyberInsider · Techlicious

🤖 LLM-агент автономно взломал PostgreSQL-базу через Marimo CVE за две минуты

Sysdig зафиксировала первую публично задокументированную атаку с использованием LLM-агента для постэксплуатации: атакующий скомпрометировал интернет-доступный Marimo notebook через CVE-2026-39987, извлёк два облачных ключа с хоста, прокрутил их через пул выходных узлов, получил SSH-ключ из AWS Secrets Manager и провёл восемь коротких SSH-сессий против downstream bastion-сервера. На финальном этапе LLM-агент экфильтровал схему и полное содержимое внутренней PostgreSQL-базы данных — менее чем за две минуты. Это первый зафиксированный случай, когда LLM-агент самостоятельно прошёл многоступенчатую цепочку атаки от RCE до кражи базы данных.
🔗 The Hacker News

🤖 ChatGPhish: prompt injection через Markdown-ссылки в ChatGPT открывает фишинговый вектор

Исследователи Permiso Security раскрыли технику ChatGPhish: рендерер ChatGPT доверяет Markdown-ссылкам и image URL из третьесторонних страниц, которые он только что обобщил — атакующий может внедрить вредоносные инструкции через эти ссылки для перенаправления пользователей на фишинговые ресурсы. Уязвимость затрагивает пользователей, суммирующих веб-страницы через ассистент —…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-30-ма/

🛡️ Дайджест кибербезопасности — 29 мая 2026

🔥 TOP-5 главных новостей

🐙 AI-агенты внедряют вредоносные MCP-серверы через репозитории и симлинки — новый вектор supply chain

Вредоносные репозитории и замаскированные символические ссылки могут обманом заставить AI-агентов для написания кода молча установить подконтрольные атакующему MCP-серверы, способные красть секреты, компрометировать CI-пайплайны и разворачивать вредоносный код. Это прямое развитие атак на Claude Code и Cursor из предыдущих дайджестов — вектор атаки через AI-инструменты разработки продолжает эволюционировать.
🔗 SecurityWeek

🐱 Gitea CVE-2026-27771: приватные контейнерные образы доступны без аутентификации — 30 000 инстанций под угрозой

CVE-2026-27771 — уязвимость контроля доступа во встроенном container registry Gitea и Forgejo: несмотря на маркировку репозиториев как приватных, registry отдаёт образы по стандартным анонимным Docker/OCI-запросам без проверки аутентификации. Баг существовал почти четыре года и обнаружен автономным пентест-агентом NoScope в апреле 2026 года; около 30 000 публично доступных инстанций подвержены уязвимости — в образах могут быть встроены API-ключи, учётные данные БД и облачные токены. Пропатчено в версии 1.26.2 — обновитесь немедленно.
🔗 SecurityWeek · CybersecurityNews · GBHackers

🔒 GlassWorm нейтрализован: все четыре C2-канала одновременно выведены из строя

Компании по безопасности совместно вывели из строя все четыре командно-контрольных канала малваря GlassWorm в скоординированной операции по ликвидации. Координированный takedown всех C2-каналов одновременно — редкая операция, требующая значительного международного взаимодействия между вендорами и правоохранителями.
🔗 SecurityWeek

🇳🇱 Нидерланды арестовали операторов двух компаний bulletproof-хостинга для российских акторов

Два нидерландца арестованы по обвинению в управлении компаниями, предоставлявшими услуги bulletproof-хостинга российским угрозовым акторам. Прямое продолжение операции FIOD по изъятию 800 серверов из дайджеста от 24 мая — нидерландская прокуратура переходит от изъятия инфраструктуры к уголовному…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-29-ма/

🛡️ Дайджест кибербезопасности — 28 мая 2026

🔥 TOP-5 главных новостей

🕴️ Silent Ransom Group физически проникает в офисы юридических фирм под видом IT-поддержки — ФБР FLASH-alert

Silent Ransom Group — российская группа вымогательства, атакующая американские юридические фирмы с 2023 года — эскалировала до физического присутствия: весной 2026 года операторы лично приходят в офисы под видом IT-поддержки и вставляют USB-накопители в рабочие станции. Данные более 38 фирм уже опубликованы на leak-сайте группы, общее число атак превышает 100; в январе 2026 года жертвой стала Orrick, Herrington & Sutcliffe с годовой выручкой $1,5 млрд — после отказа платить. Это первый FLASH-alert ФБР по данному актору — физическое проникновение в офисы как новый вектор для кибератак. 🔗 techtimes.com · digitalforensicsmagazine.com York UniversityYork University

-------------

🧩 Malware-Slop: npm-пакет mouse5212-super-formatter целенаправленно крадёт файлы из рабочей директории Claude

OX Security обнаружил вредоносный npm-пакет mouse5212-super-formatter, спроектированный для кражи файлов из /mnt/user-data — специальной директории, которую Anthropic Claude использует для загрузок и выходных данных в фоновом режиме. Кампания получила название Malware-Slop: атакующие целенаправленно охотятся за файлами, которые пользователи загружают в Claude — потенциально конфиденциальные документы, контракты, исходный код. 🔗 thehackernews.com Hipther

-------------

🚇 Иранские хакеры атаковали транспортную сеть Лос-Анджелеса LA Metro — сбои в работе сервисов

Иранские хакеры взломали системы Los Angeles County Metropolitan Transportation Authority (LA Metro), вызвав сбои в части транспортных сервисов; расследование фиксирует утечку внутренних данных и оперативные нарушения. Кампания Nimbus Manticore продолжается несмотря на — и во время — американской военной операции против Ирана, атаки ускорились а не замедлились после начала конфликта. 🔗 digitalforensicsmagazine.com Bleeping ComputerHipther

-------------

⚽ Нидерланды: арестован 35-летний…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-28-ма/

🛡️ Дайджест кибербезопасности — 27 мая 2026

🔥 TOP-5 главных новостей

👻 Ghost CMS CVE-2026-26980: 700+ сайтов взломаны — Harvard, Oxford, DuckDuckGo раздают малварь посетителям

Критическая SQL-инъекция в Ghost CMS (CVSS 9.4) эксплуатируется с начала мая: из 700+ взломанных сайтов — блоги Гарварда, Оксфорда, Оберна и поисковик DuckDuckGo; вредоносный JavaScript в темах перенаправляет посетителей на фейковые Cloudflare-верификации, запускающие ClickFix-малварь. Уязвимость была пропатчена ещё 19 февраля 2026 года — к атакам привело 95-дневное окно непатченных систем: многие операторы Ghost — персональные блогеры и небольшие академические подразделения без мониторинга. Затронуты Ghost CMS версий 3.24.0–6.19.0. Обновитесь немедленно. 🔗 securityweek.com · techtimes.com York UniversityYork University

-------------

🏛️ CISA слила AWS GovCloud-ключи и внутренние пароли через публичный GitHub — репозиторий «Private-CISA»

14 мая GitGuardian обнаружил публичный репозиторий «Private-CISA», созданный подрядчиком агентства ещё 13 ноября 2025 года — 844 МБ данных, включая ключи AWS GovCloud, Kubernetes-манифесты, Terraform-код, ArgoCD-конфиги и plaintext-пароли к десяткам внутренних CISA-систем. CISA заявила об отсутствии признаков злоупотреблений, однако не может подтвердить, что никто не воспользовался учётными данными за шесть месяцев, пока репозиторий был открыт. Конгресс потребовал объяснений. 🔗 blog.gitguardian.com · cyberscoop.com · biometricupdate.com SecurityWeekBleeping Computer

-------------

🇰🇵 Lazarus RemotePE: новый кросс-платформенный малварь атакует финансовые и криптоорганизации

Fox-IT раскрыла RemotePE — новый кросс-платформенный малварь Lazarus Group: многоступенчатая цепочка включает DPAPILoader, расшифровывающий RemotePELoader с диска через Windows DPAPI, затем загрузку основного пейлоада из памяти без записи на диск. Атаки нацелены на финансовые и криптовалютные организации — продолжение северокорейской кампании по финансированию ракетной программы через кибератаки. 🔗 thehackernews.com Security Affairs

-------------

📦 7-Zip CVE-2026-48095: heap overflow через .7z/.zip/.rar — произвольный код без открытия…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-27-ма/

🛡️ Дайджест кибербезопасности — 26 мая 2026

🔥 TOP-5 главных новостей

🇮🇷 MuddyWater атаковал 9 организаций в 9 странах — DLL side-loading через SentinelOne и Fortemedia

Symantec и Carbon Black задокументировали новую кампанию MuddyWater Q1 2026: атаки затронули промышленность, электронику, образование, финансы и профессиональные услуги в 9 странах на четырёх континентах. Атакующие загружали вредоносные DLL через легитимно подписанные бинарники Fortemedia (fmapp.exe) и SentinelOne (sentinelmemoryscanner.exe) — антивирус буквально использовался для запуска малваря. Среди жертв — крупный южнокорейский производитель электроники, международный аэропорт на Ближнем Востоке и латиноамериканский финансовый провайдер. 🔗 thehackernews.com Bleeping ComputerBleeping Computer

-------------

🔐 Исследователи сломали guardrails Meta и Google за минуты — ответы о биооружии и малваре без ограничений

По данным Financial Times, исследователи и тестировщики смогли удалить защитные ограничения из моделей Meta и Google в течение нескольких минут, получив ответы на запросы о биологическом оружии, малваре и материалах CSAM. Это прямой удар по доводам обеих компаний о надёжности своих систем безопасности — и подтверждение, что открытые веса представляют принципиально иной профиль риска, чем API-доступ. 🔗 techstartups.com SecurityWeek

-------------

💣 Payload ransomware: тихий рост с февраля — жертвы по всему миру, группа избегает публичности

Новый ransomware-штамм Payload методично строит глобальный список жертв с момента появления в феврале 2026 года, намеренно избегая публичного освещения — группа не ведёт leak-сайт и не публикует требования выкупа открыто. Стратегия намеренно контрастирует с LockBit и ShinyHunters: тихие операции сложнее атрибутировать, труднее отследить и дольше не привлекают внимание правоохранителей. 🔗 cybersecuritynews.com SecurityWeek

-------------

🏪 7-Eleven подтвердил утечку данных 185 000 человек — взлом системы документооборота для франчайзи

7-Eleven раскрыл, что взлом затронул…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-26-ма/

🛡️ Дайджест кибербезопасности — 25 мая 2026

🔥 TOP-5 главных новостей

🪤 TrapDoor: кросс-экосистемный стилер атакует npm, PyPI и Crates.io — отравляет CLAUDE.md и .cursorrules

Socket обнаружил активную кампанию TrapDoor: 34 вредоносных пакета и 384+ версий через npm, PyPI и Crates.io, нацеленных на разработчиков крипто, DeFi и AI с 22 мая 2026 года. Атакующий через аккаунт ddjidd564 внедрял скрытые Unicode-инструкции в .cursorrules и CLAUDE.md, превращая AI-ассистентов в инструмент кражи учётных данных, и слал вредоносные pull request в LangChain, MetaGPT и OpenHands. Целевые данные: SSH-ключи, Solana/Sui-кошельки, AWS-ключи, GitHub-токены. Медианное время детектирования Socket — 5 минут 27 секунд. 🔗 socket.dev · cyberkendra.com · cyberpress.org

-------------

⚽ ЧМ-2026: фишинговая инфраструктура выросла втрое — 222 домена и 203 IP уже активны

То, что начиналось с 79 мошеннических доменов, выросло до сети из 222 доменов на 203 уникальных IP-адресах — почти втрое крупнее первоначальных оценок. К началу мая соотношение подозрительных доменов ухудшилось до 1 на 41 — с 3 056 новыми регистрациями за первые недели месяца; масштаб превышает пик Qatar 2022 в пять раз. Фейковые страницы продажи билетов, магазины мерча и login-порталы FIFA активны прямо сейчас — ЧМ стартует 11 июня. 🔗 cybersecuritynews.com · gbhackers.com · blog.checkpoint.com

-------------

📡 DNS Ghost CVE-2026-9827 — стелс-уязвимость в 88 млн доменов скрывает C2 и обходит DNS-фильтрацию

Уязвимость затрагивает около 88 млн доменов и используется для обхода DNS-фильтрации и сокрытия командно-контрольного трафика — делая C2-инфраструктуру невидимой для большинства защитных решений. На фоне Megalodon и TrapDoor, активно использующих CI/CD-инфраструктуру, слепое пятно на уровне DNS даёт атакующим дополнительный слой сокрытия. 🔗 securityweek.com

-------------

🇮🇷 Void Dokkaebi: иранская группа…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-25-ма/

🛡️ Дайджест кибербезопасности — 24 мая 2026

🔥 TOP-5 главных новостей

🐙 Megalodon: 5 718 вредоносных коммитов в 5 561 GitHub-репозиторий за 6 часов — крупнейшая атака на CI/CD

SafeDep обнаружил, что 18 мая 2026 года между 11:36 и 17:48 UTC кампания Megalodon отправила 5 718 вредоносных коммитов в 5 561 GitHub-репозиторий через одноразовые аккаунты с рандомными именами; злоумышленники подделывали идентичность CI-ботов — build-bot, auto-ci, ci-bot, pipeline-bot — с сообщениями вроде «ci: add build optimization step», имитируя рутинное обслуживание. Вредоносные GitHub Actions workflows содержали base64-закодированные bash-payload, экфильтрирующие CI-секреты, облачные учётные данные AWS/GCP/Azure, SSH-ключи, OIDC-токены и исходный код на C2-сервер 216.126.225.129:8443; кампания развернула два варианта: SysDiag для массового запуска на каждом push/PR и Optimize-Build — спящий бэкдор с ручным запуском через GitHub API. Немедленные действия: проверить коммиты от build-system@noreply.dev и ci-bot@automated.dev на 18 мая, ротировать все секреты. 🔗 safedep.io · thehackernews.com · theregister.com · cybersecuritynews.com Internet Crime Complaint CenterSecurityWeek

-------------

🇮🇹 Guardia di Finanza ликвидировала пиратскую сеть CINEMAGOAL — ущерб €300 млн, серверы изъяты в трёх странах

Итальянская финансовая полиция совместно с Eurojust ликвидировала пиратскую стриминговую сеть CINEMAGOAL, причинившую ущерб Sky, DAZN, Netflix, Disney+ и Spotify на сумму около €300 млн; система использовала виртуальные машины, перехватывавшие и ретранслировавшие коды доступа от легитимных подписок каждые три минуты — без прямой IP-ассоциации, что делало обнаружение крайне сложным. Скоординированные действия охватили Францию и Германию; изъяты иностранные серверы с данными расшифровки и исходным кодом; нелегальные подписки продавались за €40–130 в год. 🔗 globalbankingandfinance.com · broadbandtvnews.com · reuters.com SecurityWeekIclg

-------------

🔒 First VPN ликвидирован: международная операция раскрыла клиентов — десятки ransomware-групп

Международная правоохранительная…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-24-ма/

🛡️ Дайджест кибербезопасности — 23 мая 2026

🔥 TOP-5 главных новостей

🤖 Kali365: ФБР предупреждает о новой PhaaS-платформе, крадущей OAuth-токены M365 без пароля и MFA

Kali365 — PhaaS-платформа, распространяемая через Telegram с апреля 2026 года: злоумышленники используют легитимный device code authentication flow Microsoft, чтобы обманом вынудить жертву авторизовать вредоносную сессию; в результате атакующий получает OAuth access и refresh токены без кражи пароля и без обхода MFA-подсказок. Платформа включает AI-генерированные шаблоны фишинговых писем, автоматическое развёртывание кампаний, дашборды отслеживания жертв в реальном времени и встроенный перехват токенов; захваченные refresh-токены обеспечивают долгосрочный доступ к Outlook, Teams и OneDrive без повторной аутентификации. ФБР рекомендует заблокировать device code flow через Conditional Access в Microsoft Entra ID. 🔗 helpnetsecurity.com · therecord.media · theregister.com

🎯 KimWolf арестован: 23-летний канадец Джейкоб Батлер задержан в Оттаве по ордеру об экстрадиции США

Американские и канадские власти арестовали Джейкоба Батлера (псевдоним «Dort») — предполагаемого оператора DDoS-for-hire ботнета KimWolf, заразившего более миллиона IoT-устройств по всему миру, включая цифровые фоторамки, веб-камеры и адреса Министерства обороны США. Параллельно с арестом Центральный округ Калифорнии рассекретил ордера об изъятии инфраструктуры 45 DDoS-for-hire платформ; ботнет был способен генерировать атаки мощностью до 30 терабит в секунду — крупнейшая публично подтверждённая DDoS-атака на тот момент. Батлера публично идентифицировал Брайан Кребс ещё в феврале — после того, как «Dort» организовал DDoS, доксинг и swatting в адрес самого Кребса. 🔗 krebsonsecurity.com · therecord.media · bleepingcomputer.com · justice.gov

🌐 Drupal CVE-2026-9082: более 15 000 атак на 6 000 сайтов в 65 странах — CISA добавила в KEV

Drupal зафиксировал попытки эксплуатации CVE-2026-9082, а Imperva сообщает о более чем 15…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-23-ма/

🛡️ Дайджест кибербезопасности — 22 мая 2026

🔥 TOP-5 главных новостей

🇯🇵 Япония объявила тревогу: правительство предупреждает критинфраструктуру об AI-атаках с использованием Claude Mythos Японское правительство выпустит предупреждения операторам критической инфраструктуры в связи с угрозой кибератак с применением AI-инструментов — прежде всего из-за опасений вокруг Claude Mythos от Anthropic, продемонстрировавшего исключительную способность выявлять уязвимости систем. Цифровой министр Японии Хисаши Мацумото получил специальные инструкции от премьер-министра Санаэ Такаити в начале мая; контрмеры разрабатывались на экстренном совещании с участием Национального полицейского агентства, Министерства промышленности и Министерства инфраструктуры. 🔗 voi.id HiptherHipther

-------------

😤 ShinyHunters бомбардирует Unit 221B звонками и письмами — расплата за публичный отказ платить выкуп ShinyHunters обрушили поток звонков и писем на исследовательскую компанию Unit 221B после того, как её директор Эллисон Никсон публично призвала жертв не платить выкуп; группа пытается наказать тех, кто убеждает жертв сопротивляться экстракции — что раскрывает уголовную модель, зависящую от управления страхом не меньше, чем от технического доступа. Никсон предупреждает: вступление в затяжные переговоры с группой лишь усиливает уровень вреда и риска, включая физическую безопасность сотрудников и их семей. 🔗 hipther.com · krebsonsecurity.com Security AffairsSC Media

-------------

🔧 Cisco Secure Workload CVE-2026-20223 (CVSS 10.0) — обход аутентификации, Site Admin за один HTTP-запрос Cisco присвоил CVE-2026-20223 максимальный балл CVSS 10.0: уязвимость позволяет неаутентифицированному удалённому атакующему полностью обойти аутентификацию и получить права Site Admin — для этого достаточно отправить специально сформированный HTTP-запрос к внутреннему REST API endpoint. Workaround отсутствует — единственное решение установить обновление; системы на версии 4.0 должны обновиться до 4.0.3.17. На фоне шести эксплуатируемых CVE в Cisco SD-WAN с марта — это уже…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-22-ма/

🛡️ Дайджест кибербезопасности — 21 мая 2026

🔥 TOP-5 главных новостей

🐙 TeamPCP взломал GitHub: 3 800 внутренних репозиториев через заражённое VS Code-расширение GitHub подтвердил: атакующие экфильтрировали около 3 800 внутренних репозиториев после того, как сотрудник установил заражённое VS Code-расширение; TeamPCP (UNC6780) выставил похищенный материал на форумах за минимум $50 000 и пообещал опубликовать его бесплатно, если покупатель не найдётся. TeamPCP в 2026 году последовательно скомпрометировал Trivy, Checkmarx KICS, Bitwarden CLI, LiteLLM, TanStack, MistralAI и теперь GitHub — всё через developer tooling; группа использует самовоспроизводящийся червь Mini Shai-Hulud для автоматизации кражи CI/CD-учётных данных. 🔗 securityweek.com · bleepingcomputer.com · helpnetsecurity.com Threat LandscapeCyberhubpodcast

-------------

🔑 YellowKey CVE-2026-45585: BitLocker обходится USB-флешкой — Microsoft выпустила митигацию YellowKey — zero-day от исследователя Nightmare-Eclipse: специально созданные FsTx-файлы на USB-накопителе позволяют при перезагрузке в WinRE получить shell с полным доступом к BitLocker-защищённому тому нажатием CTRL. Исследователь заявил, что продолжит публиковать эксплойты для незадокументированных уязвимостей Windows в знак протеста против работы MSRC с раскрытиями, и обещает «большой сюрприз» к следующему Patch Tuesday. Митигация: удалить autofstx.exe из WinRE, перейти с TPM-only на TPM+PIN. 🔗 bleepingcomputer.com · helpnetsecurity.com · thehackernews.com The Hacker NewsThe Hacker News

-------------

🔐 Anthropic тихо закрыла обход sandbox в Claude Code — уже второй раз за пять месяцев без CVE Исследователь Aonan Guan установил, что Anthropic во второй раз за пять месяцев молча исправила уязвимость обхода sandbox в Claude Code без выпуска CVE и публичного advisory; уязвимость — SOCKS5 hostname null-byte injection — могла быть объединена с prompt injection для экфильтрации данных на любой сервер в интернете. 🔗 securityweek.com · theregister.com The Hacker…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-21-ма/

🛡️ Дайджест кибербезопасности — 20 мая 2026

🔥 TOP-5 главных новостей

🌍 Operation Ramz: INTERPOL арестовал 201 киберпреступника в 13 странах MENA — первая операция такого масштаба в регионе Операция Ramz — первая киберкриминальная операция INTERPOL такого масштаба в регионе Ближнего Востока и Северной Африки — прошла с октября 2025 по февраль 2026 года и охватила 13 стран: Алжир, Бахрейн, Египет, Ирак, Иорданию, Ливан, Ливию, Марокко, Оман, Палестину, Катар, Тунис и ОАЭ. Итоги: 201 арест, 382 дополнительных подозреваемых установлены, 3 867 жертв идентифицированы, изъяты 53 сервера; в Алжире ликвидирована PhaaS-платформа, в Иордании раскрыта схема с жертвами торговли людьми, которых принуждали к мошенничеству. Почти 8 000 разведданных переданы между участниками операции. 🔗 securityweek.com · thehackernews.com · interpol.int NIST CSRCBleeping Computer

-------------

🌐 Drupal RCE без аутентификации — вендор предупреждает: эксплойт появится через часы Drupal раскрыл критическую уязвимость, которая может быть использована удалённо без аутентификации для выполнения произвольного кода и утечки конфиденциальных данных; сам вендор предупредил, что атакующие могут разработать рабочий эксплойт в течение нескольких часов или дней. Drupal используется миллионами сайтов, включая правительственные порталы — экстренный патчинг критически необходим. 🔗 securityweek.com The Hacker News

-------------

🦊 Fox Tempest: новая MaaS-группа маскирует ransomware и малварь под легитимное ПО Fox Tempest — новая группа «Malware-as-a-Service», предоставляющая киберпреступникам сервис по распространению ransomware и другого вредоносного ПО, замаскированного под легитимные программы. Паттерн прямо пересекается с атаками на JDownloader, DAEMON Tools и Funnel Builder — злоупотребление доверием к легитимным установщикам становится системным вектором. 🔗 securityweek.com The Hacker News

-------------

🖥️ MSHTA-злоупотребление: атакующие массово используют 30-летнюю утилиту Windows для доставки малваря Атакующие всё активнее…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-20-ма/

🛡️ Дайджест кибербезопасности — 19 мая 2026

🔥 TOP-5 главных новостей

📊 Grafana отказалась платить выкуп CoinbaseCartel — исходный код похищен через скомпрометированный GitHub-токен Grafana Labs подтвердила взлом: злоумышленники получили доступ к GitHub-среде компании через скомпрометированный токен и скачали кодовую базу; атаку обнаружил один из тысяч canary-токенов, рассеянных по инфраструктуре. Grafana отказалась платить выкуп, сославшись на рекомендации ФБР: «Выплата выкупа не гарантирует возврат данных и лишь создаёт стимул для дальнейшей преступной деятельности». Ответственность взяла группа CoinbaseCartel — предположительно отпрыск экосистемы ShinyHunters, Scattered Spider и LAPSUS$, заявляющий о 170 жертвах с сентября 2025 года; данные клиентов и персональная информация пользователей скомпрометированы не были. Grafana используется в 70% компаний из Fortune 50 — возможные downstream-риски значительны. 🔗 bleepingcomputer.com · securityweek.com · techrepublic.com Security Affairs + 2

-------------

🏪 7-Eleven подтвердил взлом — ShinyHunters заявляют о 600 000 Salesforce-записей 7-Eleven подтвердил взлом: вторжение в системы хранения документов для франчайзи зафиксировано 8 апреля; ShinyHunters добавили компанию на свой leak-сайт 17 апреля, заявив о краже более 600 000 Salesforce-записей, включая персональные данные и корпоративную информацию. 7-Eleven — крупнейшая в мире сеть магазинов шаговой доступности, работающая по франчайзинговой модели в 85 000+ точках в 19 странах. 🔗 securityweek.com SecurityWeek

-------------

🔐 Tycoon 2FA обошёл мартовский takedown — теперь с device-code phishing через Trustifi и Microsoft 365 eSentire TRU задокументировала новую кампанию Tycoon 2FA: кит пережил мартовский takedown коалицией Microsoft и Europol и эволюционировал, добавив атаки через OAuth Device Authorization Grant flow — жертва кликает на Trustifi click-tracking URL и без своего ведома выдаёт OAuth-токены атакующему через легитимный microsoft.com/devicelogin. Push Security зафиксировала рост device-code…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-19-ма/

🛡️ Дайджест кибербезопасности — 18 мая 2026

🔥 TOP-5 главных новостей

🪟 MiniPlasma: PoC для LPE в cldflt.sys работает даже после майского Patch Tuesday Опубликованный сегодня PoC-эксплойт MiniPlasma демонстрирует локальное повышение привилегий через Windows Cloud Files Mini Filter Driver (cldflt.sys): код эксплуатирует незакрытую уязвимость CVE-2020-17103, связанную с Google Project Zero issue 42451192, и работает без изменений даже на системах с установленным майским обновлением KB5089549 — автор отмечает, что оригинальный PoC от Google продолжает функционировать, что ставит под сомнение полноту исходного исправления. Исследователь Will Dormann подтвердил успешную эскалацию до SYSTEM-привилегий. 🔗 neowin.net York University

-------------

🐧 Copy Fail CVE-2026-31431 — эксплуатация началась, PoC в открытом доступе Угрозовые акторы начали эксплуатировать Linux-уязвимость Copy Fail (CVE-2026-31431): баг существовал почти десятилетие, затрагивает все Linux-дистрибутивы с 2017 года, и позволяет аутентифицированным атакующим с привилегиями выполнения кода эскалировать до root через модификацию page-cache setuid-root бинарников. Microsoft предупреждает: несмотря на пока ограниченную активность, CVE-2026-31431 имеет широкую применимость и может привести к выходу из контейнера, компрометации мультитенантных сред и боковому перемещению. 🔗 securityweek.com WizWiz

-------------

🌐 Microsoft Edge исправит хранение паролей в памяти открытым текстом — после давления сообщества Microsoft обновит Edge, чтобы браузер больше не загружал сохранённые пароли в память процесса в открытом виде при запуске — после того как исследователь Palo Alto Networks Norway публично раскрыл уязвимость 29 апреля на конференции BigBiteOfTech и Microsoft изначально назвала поведение «соответствующим дизайну». PoC-инструмент позволял скомпрометированному аккаунту с правами администратора извлечь сохранённые учётные данные других залогиненных пользователей — даже с отключёнными сессиями — пока у них фоново работает Edge. 🔗 bleepingcomputer.com · gbhackers.com · cybersecuritynews.com The Hacker…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-18-ма/

🛡️ Дайджест кибербезопасности — 17 мая 2026

🔥 TOP-5 главных новостей

💬 KongTuke переключился на Microsoft Teams — корпоративный доступ за 5 минут через ModeloRAT IAB-группа KongTuke переключилась с веб-лур FileFix/CrashFix на Microsoft Teams: злоумышленники маскируются под IT-поддержку через Unicode whitespace tricks, убеждают жертву выполнить PowerShell-команду, которая скачивает ZIP с портативным WinPython из Dropbox и запускает Python-малварь ModeloRAT. Кампания активна с апреля 2026 года; операторы ротируют пять Microsoft 365 тенантов за 45 дней, чтобы уйти от блокировок; от первого контакта до persistent access — около пяти минут. ReliaQuest предупреждает: организации тщательно фильтруют email, но оставляют Teams широко открытым для внешних сообщений. 🔗 bleepingcomputer.com · securitybrief.asia

-------------

🚚 Cargo theft 2.0: физические кражи грузов теперь начинаются с фишинга и угнанных учётных данных NMFTA задокументировала новый паттерн: кражи грузов начинаются с фишинговых писем и украденных учётных данных перевозчиков, а не с физического угона — злоумышленники перенаправляют фуры через поддельные транспортные заказы, документально оформляя хищение как легитимную доставку. Кибератаки на транспортную отрасль перешли из цифрового в физический мир — новый класс гибридных угроз с прямым финансовым ущербом. 🔗 bleepingcomputer.com

-------------

🌐 NGINX Rift CVE-2026-42945 (CVSS 9.2) — баг 18-летней давности найден автономной системой сканирования Heap buffer overflow в модуле ngx_http_rewrite_module позволяет неаутентифицированному атакующему вызвать DoS или — при отключённом ASLR — выполнить произвольный код, отправив специально сформированный HTTP-запрос; уязвимость существует с версии 0.6.27 (2008 год) и затрагивает NGINX Plus R32-R36 и Open Source 1.0.0–1.30.0. Патчи: NGINX Plus R32 P6 / R36 P4, Open Source 1.30.1 и 1.31.0. Старые версии (0.6.27–0.9.7) патча не получат. 🔗 thehackernews.com

-------------

🕵️ TeamPCP угрожает слить…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-17-ма/

🛡️ Дайджест кибербезопасности — 16 мая 2026

🔥 TOP-5 главных новостей

🤖 «Claw Chain»: четыре уязвимости в OpenClaw открывают 245 000 AI-агентных серверов для атаки Команда Cyera Research раскрыла четыре цепочно-используемых уязвимости в OpenClaw — одной из наиболее быстро распространяемых платформ для автономных AI-агентов: CVE-2026-44112 (CVSS 9.6) позволяет выйти за пределы sandbox через TOCTOU race condition и установить бэкдор, CVE-2026-44115 (CVSS 8.8) приводит к утечке API-ключей и токенов через unquoted heredoc, CVE-2026-44118 (CVSS 7.8) позволяет локальному процессу с bearer-токеном эскалировать до уровня владельца. Сканирование Shodan и ZoomEye в мае 2026 выявило около 245 000 публично доступных экземпляров OpenClaw; наиболее высокому риску подвержены предприятия финансового сектора, здравоохранения и юридических услуг. Все четыре уязвимости закрыты в версии 2026.4.22. 🔗 cyera.com · thehackernews.com · cybersecuritynews.com The Hacker NewsThe Hacker News

-------------

🐍 Turla превратила бэкдор Kazuar в модульный P2P-ботнет Русскоязычная группа Turla, трансформировала свой кастомный бэкдор Kazuar в модульный peer-to-peer ботнет, спроектированный для скрытности и долгосрочного доступа к скомпрометированным хостам. P2P-архитектура устраняет единую точку отказа — такой ботнет крайне сложно нейтрализовать даже после обнаружения. 🔗 thehackernews.com CVE

-------------

📦 TanStack supply chain: Mini Shai-Hulud затронул два устройства сотрудников OpenAI OpenAI раскрыла, что два корпоративных устройства сотрудников были скомпрометированы в результате атаки Mini Shai-Hulud на цепочку поставок TanStack; компания заверила, что пользовательские данные, производственные системы и интеллектуальная собственность не были затронуты или изменены. TanStack — широко используемая библиотека для управления состоянием в React-приложениях, присутствующая в тысячах корпоративных проектов. 🔗 thehackernews.com CVE

-------------

📧 Microsoft Exchange Server CVE-2026-42897 — XSS-спуфинг через письмо активно эксплуатируется Microsoft раскрыла новую уязвимость в on-premise Exchange Server…

Продолжение на сайте
https://agostev.com/🛡️-дайджест-кибербезопасности-16-ма/