Positive Technologies

У нас есть кейсы по сетевой безопасности реальных компаний

И принесли их не мы, а те, кто каждый день использует PT Sandbox и PT NAD в своей инфраструктуре. Поделимся ими 10 сентября в 15:00 на NetCase Day.

Кейсов будет пять: вы узнаете про эксплуатацию PT NAD в финансовой организации и в аэропорту «Пулково», применение PT Sandbox в «Вайлдберриз Банке» и Пивоваренной Компании «Балтика», а также бонус — общий кейс о том, как PT NAD и PT Sandbox вместе защищают финтех.

Регистрируйтесь, чтобы не пропустить день честных кейсов по сетевой безопасности и задать свои вопросы

⌛️🌐
@Positive_Technologies

Тук, тук — это PT Dephaze заходит в гости по вашему паролю

Мы выкатили большое обновление нашего продукта для автопентеста: добавили локальную LLM для проведения кибератак и расширили проверку импортозамещенных ИТ-систем.

Но обо всем по порядку.

1️⃣ LLM ищет логины и пароли в сетевых папках

Чтобы попасть в корпоративные системы без привлечения внимания санитаров средств защиты, злоумышленники различными способами ищут логины и пароли сотрудников. Часто такие данные лежат прямо в общих сетевых папках.

Теперь их ищет и PT Dephaze — с помощью локальной LLM, которая работает прямо внутри продукта и не передает данные третьим лицам.

Система находит доступные пользователю сетевые папки, а LLM анализирует текстовые и конфигурационные файлы и достает из них потенциальные логины и пароли. Если они рабочие, продукт использует их для дальнейшего развития атаки.

2️⃣ Больше векторов атак на Unix- и Linux-инфраструктуры

Бизнес и госорганы продолжают переходить на отечественные решения, поэтому мы добавили в PT Dephaze новые векторы атак на Unix- и Linux-инфраструктуры — чтобы такие организации могли регулярно и без слепых зон проверять свою защищенность.

Например, система, как и в классическом пентесте, может эксплуатировать подходящую уязвимость для повышения привилегий, которые пригодятся для дальнейших атак в контролируемом и безопасном режиме.

Другой сценарий — извлечь учетные данные с атакованного ресурса и использовать их, чтобы продвинуться вглубь инфраструктуры. Сотрудники часто используют один и тот же логин и пароль в разных системах, и PT Dephaze это проверяет: найденные учетные данные тестируются во всех обнаруженных сервисах.

3️⃣ Расширена поддержка FreeIPA

Еще одно важное обновление связано с миграцией корпоративных инфраструктур с зарубежных компонентов на отечественные — теперь PT Dephaze поддерживает службы каталогов на базе FreeIPA.

Система распознает такие домены, перечисляет и подбирает учетные данные, распыляет пароли (перебирает самые популярные последовательно для каждого пользователя) и анонимно выгружает список пользователей — без проверки подлинности и запроса дополнительных сведений. Все это помогает понять структуру учетных записей в домене.

🏃‍♂️‍➡️ Мы продолжим развивать продукт на основе обратной связи от клиентов и расширять его возможности, в том числе добавляя новые техники атак на российские ОС.

#PTDephaze
@Positive_Technologies

Неизвестная APT-группировка атакует органы исполнительной власти в российских регионах

Волну сложных целевых кибератак обнаружили специалисты департамента Threat Intelligence экспертного центра безопасности PT ESC. За атаками стоит высококвалифицированная группировка, цель которой — кибершпионаж.

Все это происходит накануне выборов в Госдуму — еще 22 августа министр иностранных дел России Сергей Лавров заявил, что попытки кибератак, связанных с выборами, уже начинаются и будут нарастать.

И вот мы видим подтверждение: группировка, активность которой наши специалисты наблюдают с мая, провела как минимум шесть кампаний кибершпионажа.

Как происходят атаки

1️⃣ Для получения первоначального доступа к инфраструктуре группировка использует вредоносные вложения в письмах, которые рассылаются на служебные адреса сотрудников атакуемых учреждений.

Чтобы снизить бдительность жертв, атакующие используют тематику предстоящих выборов и PDF-документы с предвыборными материалами и планами одной из российских политических партий.

2️⃣ Для доставки первой стадии вредоносного ПО группировка использует ISO-образ оптического диска (файл с расширением .iso), который прикрепляется к фишинговому письму.

При открытии вложения в скомпрометированной системе монтируется виртуальный диск. На нем находятся три вредоносных PE-загрузчика (файлы формата .exe), замаскированных под PDF-документы с помощью подмены иконок.

3️⃣ Запуск этих файлов извлекает из них и открывает PDF-документы с предвыборными материалами, отвлекая внимание жертвы. Параллельно выполняется закодированная в Base64 PowerShell-команда, которая запускает дальнейшую цепочку заражения системы.

4️⃣ Затем с удаленного сервера загружается и запускается вредоносный модуль предварительной разведки. Он собирает информацию о скомпрометированной системе и регистрирует ее в управляющей инфраструктуре атакующих.

5️⃣ После этого загружается PowerShell-бэкдор собственной разработки группировки. Он позволяет атакующим удаленно выполнять команды в скомпрометированной системе и получать результаты их выполнения.

Все это указывает на то, что за атаками стоит профессиональная группировка злоумышленников, мотивация которых — кибершпионаж.

#PTESC
@Positive_Technologies

⚡ Наш новый ИИ-инструмент помог найти критическую уязвимость в проекте Microsoft

Команда AppSec Research в Позитиве разрабатывает технологию на основе ИИ — она автоматизирует поиск уязвимостей в исходном коде и проверку возможности их эксплуатации, ускоряя анализ по сравнению с традиционными подходами.

В ходе тестирования ИИ-инструмент помог обнаружить уязвимость максимального уровня опасности в проекте Microsoft — Prompty. AppSec-инженеру потребовалось всего две минуты на проверку результатов сканирования.

Prompty — это опенсорс-проект Microsoft для работы с промптами: с его помощью разработчики создают, тестируют и отлаживают запросы для больших языковых моделей.

Для этого используются специальные .prompty-файлы: в начале находится блок с настройками — какую модель использовать и какие данные передавать, ниже — сам текст промпта.

По открытым данным npm, PyPI и Visual Studio Marketplace, проектом пользуются десятки тысяч разработчиков, поэтому уязвимость потенциально могла затронуть большое число корпоративных и пользовательских систем.

Какой недостаток был обнаружен

Уязвимость получила идентификатор CVE-2026-73299 (PT-2026-71197) и максимальную оценку опасности — 10 из 10 по шкале CVSS. Она затрагивала версии @prompty/core (основного компонента проекта, который отвечает за обработку .prompty-файлов) до 0.1.4 и 2.0.0-beta.4 включительно.

Проблема была связана с Nunjucks — компонентом, который используется для обработки шаблонов. Из-за ошибки злоумышленник мог подготовить специальный .prompty-файл, который при обработке заставлял приложение выполнить произвольный JavaScript-код на сервере.

Код запускался с правами самого приложения: потенциально злоумышленник мог получить доступ к данным и секретам, файлам и настройкам, вмешаться в работу сервиса или нарушить его доступность.

При этом обычный текстовый запрос к ИИ сам по себе такой атаки не вызывает. Для эксплуатации нужно, чтобы приложение использовало уязвимую версию @prompty/core и обработало специально подготовленный .prompty-файл — например, полученный из внешнего репозитория, от другого пользователя или сгенерированный с помощью LLM.

Microsoft устранила проблему в версиях 0.1.5 и 2.0.0-beta.5.

«Новая технология помогла нам быстро проследить путь от небезопасной обработки шаблона до выполнения кода и подтвердить сценарий атаки на практике. Поэтому для таких файлов с промптами нужны те же базовые меры, что и для кода: доверенные источники, контроль изменений и происхождения, запрет на обработку непроверенных шаблонов и запуск ИИ-инфраструктуры с минимально необходимыми правами», — отметил Александр Халиков, старший специалист AppSec Research, Positive Technologies.

Подробнее о нашем новом ИИ-инструменте расскажем уже скоро (спойлер: это не единственная находка).

@Positive_Technologies

Мы получили сертификат ФСТЭК на решения для защиты конечных устройств

Для нас это важный стратегический шаг: сертификат открывает доступ к новым продажам государственным компаниям, банкам и субъектам критической информационной инфраструктуры (КИИ), а также их контрагентам и подрядчикам.

Теперь на рынке, где до этого доминировали два вендора, мы можем предложить полноценную линейку решений для защиты конечных устройств — от превентивной антивирусной защиты до противодействия целевым атакам.

1️⃣ MaxPatrol EPP сертифицирован как средство антивирусной защиты — таких решений на российском рынке всего несколько

Для государственных информационных систем, работы с персональными данными и объектов КИИ наличие сертифицированного антивируса — обязательное требование. Это касается и подрядчиков, которые получают доступ к таким системам.

Теперь MaxPatrol EPP также можно использовать как второй антивирус для выполнения требований регуляторов.

2️⃣ MaxPatrol EDR сертифицирован как средство обнаружения и реагирования (СОР)

ФСТЭК впервые выделил обнаружение и реагирование на узле в отдельный класс средств защиты, и мы подтвердили соответствие новым требованиям. Сертификация по этому классу особенно важна в связи с приказом № 117 ФСТЭК, который действует с 1 марта 2026 года.

Документ предусматривает конкретные меры защиты государственных информационных систем, в том числе непрерывный мониторинг, управление уязвимостями, контроль доступа и оперативное устранение инцидентов на устройствах.

Весь этот цикл можно закрыть на нашей единой платформе: MaxPatrol EDR изначально создавался для противодействия целевым атакам, а не как надстройка над сигнатурной защитой. Теперь это подтверждено и сертификатом.

💼 Оба продукта входят в единое решение для защиты конечных устройств MaxPatrol Endpoint Security

Сегодня под его защитой находятся более 300 тысяч устройств у 350 клиентов. Для некоторых организаций сертификат ФСТЭК был обязательным условием закупки — теперь этот барьер снят.

@Positive_Technologies

🔘 Вы собираете детей в школу, а мошенники — свой «урожай»

Каждый год одно и то же: злоумышленники используют социальную инженерию, чтобы «заработать» на школьниках и их родителях. Причем ищут к каждому свои подходы.

Взрослых в основном атакуют в мессенджерах, а детей — по телефону, рассказывают аналитики Позитива и МТС в новом совместном исследовании.

Когда родители слишком заняты... 🫩

Представьте, вы одновременно заканчиваете все необходимые покупки к школе, решаете, где заказать букет и составляете график, кто и когда будет возить ребенка на кружки и в секции. И тут приходит сообщение в родительский чат:

«Сдаем по 2000 рублей на учебные пособия. Срочно! Есть возможность закупить до завтра по льготной цене».

Что вы сделаете? Возможно, порадуетесь, что вам не придется покупать хотя бы их, и переведете деньги. И даже не заподозрите, что стали жертвой мошенников, которые получат ваши деньги, а возможно, и платежные данные.

Перед началом учебного года они адаптируют под обстоятельства старые схемы, пользуясь тем, что на фоне высокой нагрузки родителям проще сделать перевод, что-то оплатить или подтвердить данные, чем вникать в детали.

В результате они попадают в фишинговые магазины школьных товаров, вводят данные на поддельных страницах электронных дневников и в формах заявок на несуществующие выплаты к 1 сентября, вносят предоплату за фейковые кружки и репетиторов и так далее.

Мошенники звонят по вторникам 😲

К детям подход иной. Там давят авторитетом, что при личном телефонном общении сделать довольно просто. Так, за январь — июнь 2026 года пользователям младше 18 лет поступило около 92,6 млн нежелательных звонков, большая часть которых была заблокирована автоматически. Но когда мошенники дозваниваются, они могут легко втереться в доверие или при помощи сгенерированного голоса выдать себя за кого-то знакомого.

Опытные социальные инженеры ведут разговор по своему сценарию, не дают повесить трубку и не делают пауз, чтобы не было времени включить критическое мышление. Даже взрослые при такой обработке, сами того не заметив, могут сообщить код подтверждения от Госуслуг или выдать другую чувствительную информацию, чего уж говорить о детях.

• Самыми уязвимыми оказались подростки 11–14 лет (почти 43% случаев).

• Младших трогают реже, а старшие уже чаще задумываются о том, с кем разговаривают. Обычно им звонят в будни, когда родители на работе.

• Любимый день злоумышленников — вторник, с 10:00 до 12:00.

Метод, который чаще всего приводит мошенников к успеху, — игровой. Ребенку обещают игровую валюту или другие «плюшки» в обмен на платежные данные родителей. Каждый десятый такой сценарий завершается попыткой оформления кредита на кого-то из взрослых.

Звучит неприятно, но на деле все это можно предотвратить при помощи двух простых и важных вещей — взаимного доверия и знания базовых правил кибербезопасности.

🫱 О них и подробнее о каждом сценарии обмана читайте в полном тексте исследования на сайте. Смотрите и делитесь с другими: эти знания пригодятся не только детям и не только к 1 сентября.

@Positive_Technologies

Мониторинг событий кибербеза должен быть как привод у внедорожника — полным 🚗

На вебинаре 3 сентября в 11:00 поговорим, как включить этот привод на максимум, если у вас есть MaxPatrol SIEM. Ну и научим всех желающих проверять полноту сбора событий, использовать внешнюю экспертизу для создания правил обнаружения и автоматизировать собственные сценарии через API.

Почему мониторинг не полный

Обсудим три проблемы, с которыми чаще всего приходится сталкиваться при попытке охватить мониторингом все, что только можно.

Первая из них — возникновение слепых зон, когда активы меняются или появляются новые. Бывает так, что они выпадают из текущих политик сбора — просто потому, что мы не всегда успеваем отслеживать изменения.

Вторая — правила обнаружения установлены, но события в SIEM-систему в нужном объеме не поступают, потому детект буксует.

Третья — у вас есть много собственных интеграций и автоматизаций, созданных под отдельные задачи, но развивать и переиспользовать эти решения сложно. Скорее, приходится тратить время и силы на их поддержку.

Что с этим делать

Расскажем о скрипте MP Events Monitor, который помогает сопоставить активы с политиками сбора событий, определить, какие узлы находятся под наблюдением, найти проблемы с аудитом и понять, каким правилам обнаружения не хватает данных.

Дополним это практическим опытом и на конкретных примерах разберем, как находить неизвестные и забытые активы, узлы вне аудита, отсутствующие события и правила, которые установлены, но не получают необходимых данных.

Обсудим, как создавать не «костыли», а работающие инструменты при помощи API, автоматизировать сценарии под задачи конкретной инфраструктуры и делиться такими решениями с техническим сообществом.

А также подключим готовую внешнюю экспертизу с помощью Sigma и разберем, как использовать ее для развития собственного обнаружения.

Ждем всех, кто не готов довольствоваться готовыми сценариями и хочет прокачать свой мониторинг по максимуму. Регистрируйтесь и до встречи на вебинаре.

#MaxPatrolSIEM
@Positive_Technologies

Где будут учиться новые таланты реверс-инжиниринга и кибербеза

В сентябре 36 студентов начнут осваивать специализацию, которой раньше в России не было, — «Разработка систем кибербезопасности и реинжиниринг киберфизических систем». Запускаем мы ее совместно с МФТИ на базе Высшей школы программной инженерии.

И выбрали ФИЗТЕХ не случайно — это одна из сильнейших инженерных школ страны. Нам хотелось соединить его фундаментальную базу с нашей экспертизой, чтобы вместе готовить сильных специалистов, умеющих разбираться в сложном, находить нестандартные решения и создавать то, чего раньше не было.

🧑‍🎓 Программа объединяет программирование, инженерию и исследования: от математики и физики до разработки ПО для защиты, реверс-инжиниринга и работы с современными устройствами и цифровыми системами. И с первого курса — на реальной практике.

Перед стартом обучения лабораторию исследований безопасности микроэлектроники и встраиваемых систем R&D-центра Positive Labs посетила делегация МФТИ во главе с ректором Дмитрием Ливановым и директором Высшей школы программной инженерии Алексеем Малеевым. К ним присоединились и первые абитуриенты.

Наши специалисты показали передовое оборудование, в том числе собственной разработки, на котором предстоит работать студентам, и рассказали о задачах, которые им предстоит решать с его помощью — в отдельном классе и лаборатории в нашей штаб-квартире в Москве.

🌟 Мы знаем, что крутые инженеры не появляются сами по себе. Таланту нужны среда, знания и возможность попробовать себя в настоящем деле. Все это мы и хотим дать студентам, потому что уверены: таланты создают технологии. А технологии привлекают таланты.

Как прошло посещение лаборатории — смотрите в видео с Алексеем Усановым, руководителем R&D-центра Positive Labs.

@Positive_Technologies

Что мы думаем о Mythos и подобных ИИ-моделях

Про ИИ в кибербезопасности сейчас пишут все, и почти всегда получается один и тот же текст: атаки станут страшнее, защита станет умнее, победит нейросеть 🤷‍♀️

Нас спросили про Mythos и похожие модели — отвечают знатоки держите комментарий Андрея Кузнецова, ML-директора Positive Technologies:

Оценивая Mythos и подобные ему передовые коммерческие модели, стоит отделить по-настоящему важное от маркетинговой шелухи.

С одной стороны, значительная часть громких результатов получена на открытом коде, а он попал в обучающие датасеты еще два-три года назад. Ни одна модель не воспроизведет по памяти ядро Linux или проект размером с FFmpeg, но паттерны популярных кодовых баз и типологию основных ошибок она знает хорошо, и это заметно упрощает задачу. В закрытых проектах, где такой форы нет, результаты скромнее, о чем в презентациях говорят реже.

К тому же сами разработчики передовых моделей заинтересованы нагнетать атмосферу страха, обращаясь к базовому человеческому инстинкту. Отсюда эпитеты вроде «кибернетического атомного оружия». Примерно так же Victoria's Secret использует топ-моделей для сексуализации рекламы, обращаясь к другому базовому инстинкту.

С другой стороны, языковые модели заметно эволюционировали. Возьмем бенчмарк CyBench: 40 реальных задач от HackTheBox и других провайдеров. Агент получает контейнер с Kali Linux, сам запускает команды, читает вывод и решает, что делать дальше, без подсказок и без готового плана. Изначально GPT-4o решала 17,5% задач. Claude Opus 4.6 показывала уже 90%+, а новые модели почти дошли до 100%. В 2024 году этот бенчмарк считался серьезным вызовом, но исчерпал себя за полтора года.

Свежий практический пример: с 1 по 4 июля 2026 года связка ИИ-агентов провела атаку на государственные структуры Тайваня. Израильская компания Dream восстановила картину кампании по найденному рабочему архиву: 160 МБ, 1395 файлов, 12 волн атак за четыре дня, до восьми параллельных субагентов.

Итог: 85 скомпрометированных учетных записей, украдены данные о сотрудниках, ошибка проверки подписи в государственном сервисе аутентификации, бэкдоры на веб-приложениях. Министерство цифрового развития Тайваня подтвердило атаку и описало ее как гибридную, то есть с участием людей, применяющих ИИ-агентов, в том числе на опенсорсных харнессах.

На всякий случай: харнесс — это код-обвязка вокруг модели. Сама по себе LLM умеет только выдавать текст, а через харнесс она выполняет действия: запускает команды, читает файлы, ходит в сеть.

Благодаря ИИ изменилась себестоимость атаки. Сложная целевая атака всегда упиралась в дефицитную экспертизу, и именно это ограничивало число кампаний. Теперь атакующие масштабируются не наймом людей, а добавлением автономных агентов. Еще в Dream отмечают новый, неприятный для нас паттерн: когда очередной подход блокировали, ИИ-агенты в реальном времени перебирали другие варианты и перестраивались.

Суммируя вышесказанное, оба тезиса верны одновременно, и в этом главная сложность оценки. Маркетинг вокруг фронтир-моделей отвлекает от важного, а реальное изменение при этом недооценено, потому что оно скучнее: поменялась не природа атаки, а ее экономика.

Защиту надо планировать исходя из предположения, что у атакующего уже есть инструмент, который находит в вашем коде 0-day, которые вы пропустили, либо делает это быстрее и дешевле, чем вы. Отсюда непрерывное тестирование вместо ежегодного пентеста и багбаунти как постоянный процесс. А проверять надо не только закупку средств защиты, но и то, насколько надежно исключено недопустимое событие.

Ответ на «машинную» скорость может быть только «машинным». Доступ к передовым моделям все еще важен, но сопоставимые возможности постепенно становятся доступны в открытых моделях, лаг измеряется месяцами. В итоге победит не тот, у кого сильнее модель, а тот, кто лучше встроит ее в свои процессы. К счастью, у защитников есть преимущество, которого нет у атакующих: мы знаем инфраструктуру, а они ее только прощупывают.

@Positive_Technologies

Каждому специалисту по кибербезу — по личному хакеру

Нет, мы не о классическом противостоянии героев и злодеев, а о нашем автопентесте — PT Dephaze.
 
На вебинаре 27 августа в 14:00 расскажем, как продукт изменился за лето последние полгода. Вы узнаете, какие фичи появились в недавних релизах — например, новые возможности для проверки Windows- и Linux-инфраструктур — и что еще на подходе.

Ну а чтобы не только рассказывать, в прямом эфире мы протестируем PT Dephaze в бою на разных сценариях и покажем, как выглядит идеальная регулярная проверка безопасности.

Заодно поговорим о том, какие изменения в инфраструктуре гарантированно дают повод для такой проверки и почему провести ее один раз маловато будет, а вот на регулярной основе — самое то.

Напоследок обсудим, чем автопентест отличается от сканирования на уязвимости, ручного пентеста и BAS, и разберемся, для каких задач оценки защищенности подходят все эти методы.

Точно будет интересно и гарантированно — полезно, так что регистрируйтесь — и увидимся в онлайне.

#PTDephaze
@Positive_Technologies

🤑 Как посчитать кибербез

Кто-то посвящает этому научные труды, а мы — целый новый номер Positive Research, в котором говорим об экономике кибербезопасности со всех возможных сторон.

1️⃣ Первая из них, важная и для многих, наверное, самая болезненная, — сколько стоит обезопасить компанию и как показать бизнесу, что бюджет на это действительно необходим.

Привлекли разных экспертов — от специалистов по кибербезу до ученых-экономистов — и рассмотрели ее со всех сторон, чтобы помочь CISO говорить с топ-менеджментом на понятном ему языке. Например, можно использовать для этого статью Алексея Лукацкого, где он объясняет, почему фразы, понятные каждому безопаснику, не подходят для диалога с бизнесом и как правильно объяснить и посчитать риски.

🎁 Бонус для всех, кому достанется бумажный номер, — плакат с метриками для измерения ИБ, понятный и руководству, и тем, кто занимается кибербезом.

2️⃣ Еще одна важная часть экономики кибербезопасности — сколько стоит вас взломать. Сейчас в даркнете можно найти инструменты практически для любых целей, а пользоваться ими может даже новичок, у которого хватает средств на покупку хакерского инвентаря.

Позитивные эксперты Дмитрий Каталков и Анна Вяткина подробно расписали в своих статьях, из чего складывается стоимость атаки, как прикинуть цену собственного взлома, какие инструменты и эксперты для этого могут пригодиться и насколько дорого обойдутся такие услуги.

3️⃣ Значимый аспект экономики кибербеза — цена недостаточной защиты. Далеко не все компании готовы открыто признать, что стали жертвами кибератаки, а уж тем более рассказать, как они действовали в критической ситуации и какой ущерб это нанесло бизнесу.

В этом плане особо ценен и интересен материал о круглом столе, где мы вместе с представителями компаний, ставших жертвами мощных кибератак («Страховой Дом ВСК», СДЭК и ПАО «НОВАБЕВ ГРУПП»), поговорили о том, как им удалось это пережить и какую роль в обеспечении безопасности организации должно играть ее руководство.

4️⃣ Ну и, конечно, без страхования рисков в «экономическом» номере тоже никуда. Если уж существуют киберугрозы, от них должна существовать страховка (и мы сейчас не о средствах защиты).

На заочном круглом столе страховые компании и брокеры, занимающиеся киберрисками, рассказали, как устроен рынок, с какими ограничениями он сталкивается и что может повлиять на стоимость полиса. Ну а мы все это записали и рассказали вам.

Конечно, это не все. Хотите больше — скачивайте новый номер в формате PDF и читайте.

📕 А если вы коллекционируете Positive Research на бумаге, принимайте участие в розыгрыше одного из десяти экземпляров свежего номера. В этот раз их получат авторы коротких историй о самых интересных, забавных или необычных факапах в кибербезе и морали, которую вы из них вынесли. Ждем ваших рассказов на почту journal@ptsecurity.com.

#PositiveResearch
@Positive_Technologies

🫴 Ценности можно положить в надежный сейф, но для цифровых активов такой способ не подходит

На вебинаре 25 августа в 14:00 поговорим подробнее об актуальных угрозах цифровым активам с реальными кейсами и о том, как выглядят практики их надежного хранения у ведущих игроков рынка.

Мир вступил в эпоху институционального Web3 и блокчейн-активов, которые не упрячешь в банковское хранилище. Альтернатива — кастодиальное хранение, когда владелец управляет своими цифровыми активами через платформы, но технический доступ к ним и безопасность (например, хранение приватных ключей) обеспечивает компания.

Вместе с нашим руководителем проектов центра консалтинга Ольгой Ринглер, Денисом Васиным, техническим директором Web3 Tech, и Маратом Джексембаевым, техническим директором платформы Токеон, обсудим три важных аспекта проблемы.

1️⃣ Угрозы и организация кибербеза

В этом блоке поговорим об уникальности Web3-сред с точки зрения организации кибербеза и решим: это что-то новое или старые риски в другой обертке. Оценим актуальные угрозы 2026 года и рассмотрим самые громкие инциденты: взлом Grinex, рекордный по атакам на DeFi-протоколы апрель и другие кейсы.

2️⃣ Кастодиальное хранение

Обсудим роль платформ кастодиального хранения в операциях с цифровыми активами в России и за границей, лучшие технологические и операционные практики: HSM, MPC/MPS, TSS и связь этого способа защиты блокчейн-активов с общими процессами ИБ в компании.

3️⃣ Как все выглядит на деле

Представители рынка расскажут больше о практике безопасной работы с цифровыми активами перед вступлением в силу закона «О цифровой валюте и цифровых правах», требованиях регулятора, эффективных решениях, сложностях и практиках, которые действительно работают.

Интересуетесь безопасностью Web3 или работаете в этой сфере? Регистрируйтесь на вебинар и присоединяйтесь к нам онлайн.

@Positive_Technologies

👀 Как белые хакеры тестили MaxPatrol Endpoint Security. История глазами модератора

Можно давать рекламные обещания, а можно просто взять и показать, что продукт НЕПРОБИВАЕМ. Мы так и сделали во время кибербитвы Standoff: развернули в интерактивном пространстве Endpoint HackZone актуальную версию MaxPatrol Endpoint Security и сказали белым хакерам: «Ломайте!»

Несколько дней шесть команд по очереди пытались реализовать техники скрытого закрепления в системе, симулировали действия продвинутых APT-группировок, тестировали методы отключения компонентов защиты изнутри и проверяли устойчивость продукта к атакам нулевого дня.

О том, что из этого вышло, мы рассказали почти сразу, а теперь, как и обещали, делимся технической «внутрянкой» в новой статье на Хабре. В ней — довольно подробный рассказ о реализации шести из девяти предложенных исследователям сценариев. Пять из них — для виртуальных машин и только один — с реальным ноутбуком (на нем мы тестировали новый модуль контроля устройств).

В посте поделимся с вами частью реализованных историй, чтобы вы представили, как это выглядело на деле.

Чаще всего команды атаковали отданный на растерзание ноут. Это ожидаемо, ведь в реальной жизни получить доступ к физической машине, куда можно вставить флешку с вредоносом или подключить иное устройство, хакеры обычно не могут. Понятно, что ребятам было интересно попробовать реализовать сценарий разными путями.

В сценарии, где мы тестировали новый модуль защиты от руткитов на Linux, одним исследователям удалось найти и разреверсить PoC этого самого модуля. Мы буквально налету пофиксили такое взаимодействие и закрыли брешь, и остальным воспроизвести его уже не удалось.

Еще один сценарий — самый опасный, позволяющий отключить самозащиту агента — удалось реализовать лишь одной команде. Они смогли через ветку в реестре Windows, содержащую ряд настроек управления памятью, модифицировать одно из значений и  удалить исполняемый файл агента. Ну а дальше можно было делать что угодно, например: создавать файлы в директории агента или выполнять dll-hijacking. За эту находку — отдельный респект от организаторов 👍

Эти и другие уязвимости команда продукта сразу пофиксила, и в новой версии MaxPatrol Endpoint Security их нет. Подробнее о том, что еще удалось найти и как это было, читайте в нашем блоге на Хабре.

@Positive_Technologies

Прокачали PT AI за счет AI

С помощью нашей AppSec-платформы PT Application Inspector разработчики и специалисты по кибербезу находят уязвимости в коде программ и их компонентов — от слабых мест вайбкодинга до «закладок», которые могли оставить случайно или со злым умыслом.

На одного AppSec-инженера в компании обычно приходится около 500 разработчиков, а за неделю набираются тысячи потенциальных уязвимостей. На их разбор может уходить до 90% рабочего времени, но далеко не все из них окажутся реальными.

При этом специалистам приходится работать с разными языками программирования и постоянно переключаться между проектами. То есть вникнуть во все — на грани невозможного.

Чтобы сделать жизнь этих ребят легче, мы добавили ИИ-ассистента PT Naira в PT AI 😎

Он берет на себя рутинную часть работы — первичный разбор и сортировку найденных уязвимостей. То есть занимается ИИ-триажем.

Оценивать его только по общей точности было бы неправильно: пропустить реальную уязвимость гораздо хуже, чем не отсеять ложное срабатывание. Поэтому мы отдельно проверяли, насколько хорошо ассистент распознает реальные проблемы и отсекает ложные, помогая сократить нагрузку на AppSec-инженера.

На тестах ассистент проверил больше 3 тысяч предупреждений: верно распознал 94% реальных уязвимостей и отсеял 30% ложных срабатываний. В 75% случаев его выводы совпали с мнением AppSec-эксперта. Каждую задачу проверяли пять раз и засчитывали результат, только если ответ был верным во всех пяти случаях.

Как это работает 🧐

Пример — на скрине. Помощник определяет, опасна уязвимость или нет, кратко объясняет суть проблемы и готовит аргументы для обсуждения с разработчиками. При этом можно воспользоваться фильтрами по классам вердиктов.

Модель развернута и работает в нашем защищенном облаке: данные не передаются третьим лицам. Компаниям также не придется покупать дорогие и дефицитные графические ускорители — вся тяжелая работа сделана на нашей стороне.

Ассистент уже доступен 👨‍💻

До 1 марта 2027 года базовый ИИ-триаж доступен бесплатно для всех пользователей PT AI. А если нужна расширенная версия — с автоматической проверкой прямо во время сканирования, — можно оставить заявку на нашем сайте или обратиться к партнеру.

#PTAI
@Positive_Technologies

Идете на OFFZONE? Мы — да

Эксперты Позитива подготовили восемь мощнейших докладов: о реверс-инжиниринге сложнейших чипов и микроконтроллеров, собственном инструменте IPAHound — от пентестеров для пентестеров, атаках на ИИ-агенты и ошибках одной восточноазиатской APT-группировки.

Подробнее о каждом выступлении рассказываем здесь 👇

20 августа

11:00 — «HеREALная безопасность — обходим защиту чипов Realtek с помощью FI и SCA»

Доклад для тех, кто все еще верит, что hardware — это black box, а значит безопасно. Павел Иванников и Юрий Мищенко, специалисты R&D‑центра Positive Labs расскажут, как при помощи осциллографа и side‑channel‑атак превратить исследование чипа в «легкую» прогулку по коду, даже если это black box.

14:00 — «Девиртуализация Warbird с помощью LLVM»

Приглашаем всех, кому интересны современные подходы к девиртуализации. Павел Максютин, ведущий специалист отдела экспертизы PT Sandbox, расскажет об устройстве виртуальной машины Warbird (технологии Microsoft для защиты кода и DRM в Windows) и о том, как ему удалось ее сломать с помощью бинарной трансляции и LLVM.

16:10 — «Et tu, OpenCode: как злоумышленники атакуют агенты и выманивают ваши секреты»

Наступление эры агентских систем «подарило» злоумышленникам новые векторы атак на пользователей. Чего они этим добиваются, и какие новые техники в отношении ассистентов и агентов используют киберпреступники, расскажет Станислав Раковский, руководитель группы Supply Chain Security. Приятный бонус — практическая проверка того, насколько безопасно использовать ревью коммитов на основе опенсорсных и коммерческих LLM.

17:00 — «Это мое железо: получаем контроль над Secure Boot через SecureEngine в SoC CIX P1»

Выступление для тех, кто хочет хорошо разобраться, как устроены Secure Boot в современных системах. Эксперт Positive Labs Никита Фирсов поделится личным опытом анализа и эксплуатации загрузчиков и проведет детальный разбор исследования Secure Boot на SoC CIX P1 — от старта до эксплуатации.

18:15 — «Пароли на вынос: Yandex Browser, DPAPI и NetExec»

Раньше пентестерам приходилось размещать дополнительные утилиты на хосте, чтобы удаленно извлекать сохраненные пароли из «Яндекс Браузера». Павел Ляпин, старший специалист отдела наступательной безопасности, создал авторский open‑source‑модуль для NetExec, который решает эту проблему. Он поделится подробностями, покажет синим командам готовые индикаторы и корреляционные правила, а также расскажет, почему так важно использовать мастер-пароль.

21 августа

11:00 — «Китайские клоны STM32: перекуем старые баги на новые»

О своем исследовании защиты от считывания прошивок в микроконтроллерах производства Puya Semiconductor и найденном баге, позволяющем считывать прошивку без сложных атак fault injection, расскажет Александр Белов, эксперт Positive Labs.

14:00 — «IPAHound. Идем по ребрам в FreeIPA»

Пора обсудить IPAHound — появившийся в мае инструмент для анализа безопасности и поиска ошибок в настройках прав и привилегий в домене FreeIPA. Михаил Сухов, старший специалист red team R&D, в своем докладе на примерах разберет особенности эксплуатации некоторых ребер и доверия между AD и FreeIPA.

16:30 — «Дочирикались»

Название доклада относится к одной восточноазиатской группировке, которая атаковала цели в Южной Азии и Европе, внедряя на взломанные легитимные сайты вредоносный JS, подменявший страницы фейковой установкой сертификата и загружавший ранее неизвестный бэкдор. Максим Шаманов и Александр Бадаев — специалисты TI-департамента PT ESC, расскажут о серьезных OPSEC‑ошибках, которые допустили злоумышленники.

Выбирайте, что вам интересно, и до скорой встречи!

#PositiveЭксперты

Как случайно включить шпионский режим на Android

По такому принципу работает DragonDoll — шпионское приложение для мобильных Android-устройств из 26 стран, которое эксперты PT ESC зафиксировали этой весной 🐲

Как дракон нападает на андроидов

Вредонос попадает на телефон под видом «срочного обновления» Google Chrome для Android, которое пользователь скачивает с поддельного сайта, очень похожего на официальный ресурс браузера.

Дальше приложение запрашивает доступ к «Специальным возможностям» (якобы для слабовидящих). Но на самом деле, поставив эту галочку, жертвы сами отдают в руки преступников ключи от своей цифровой жизни. DragonDoll в несколько этапов устанавливает на смартфоне финальный шпионский модуль с защитой от обратного анализа (чтобы найти его было не так-то просто).

Впервые наши эксперты обнаружили активность DragonDoll этой весной при анализе атаки на пользователей из Саудовской Аравии. «Рассадником» вредоноса, где было найдено больше 150 (!) его модификаций, оказался аккаунт на GitHub, на который ребята вышли в ходе расследования. Ссылка оттуда вела на сеть поддельных сайтов с «обновлениями» Google Chrome на 30 языках, включая русский, китайский, корейский и арабский.

Злоумышленники получают все

Шпион может в режиме реального времени транслировать мошенникам, что происходит в смартфоне, и управлять им удаленно. Заметили внезапно включившийся экран, удаленную историю звонков, взявшиеся ниоткуда новые контакты или пропавшие старые? Берегитесь, возможно, DragonDoll уже внутри.

Помимо перечисленного, он умеет фиксировать нажатия на экран, звонить и отправлять сообщения, а потом стирать следы преступления, читать все, что вы пишете, и делать скриншоты. А еще — накладывать поверх настоящих приложений (например, банковских) поддельные окна, чтобы украсть ваши пароли и ПИН-коды.

Осторожно, мессенджеры

Особую «слабость» этот дракон питает к принцессам мессенджерам. 👑 Все та же галочка «специальных возможностей» позволяет считывать в WhatsApp* и Signal списки чатов и контактов, а также текст и время сообщений прямо с экрана. В Telegram, помимо этого, шпион перехватывает даже содержимое пушей. С Viber и другими мессенджерами действует схема попроще — оттуда DragonDoll просто копирует все, что видит на экране.

Все собранные со смартфона данные вредонос в зашифрованном виде передает на управляющий сервер, размещенный на российском хосте.

Как защититься

1️⃣ Не давать только что установленному приложению доступ к специальным возможностям без явной на то причины.

2️⃣ Обновлять любое ПО через официальные магазины (например, Google Play) или с сайта разработчика.

3️⃣ Не переходить по сомнительным ссылкам на «срочные обновления» из сообщений или всплывающих окон.

Подробнее — в материале на нашем сайте.

*Продукт компании Meta, которая признана в РФ экстремистской и запрещена.

@Positive_Technologies

Что нового в PT Sandbox

Давно не делились с вами новостями из песочницы об обновлениях продукта. А он тем временем получил несколько важных фичей, которые расширяют возможности анализа, упрощают администрирование и помогают эффективнее использовать ресурсы инфраструктуры.

Обсудим их на вебинаре 20 августа в 14:00. В нем будет три части, и каждая — про отдельные изменения:

1️⃣ В области исследования угроз: поведенческий анализ Android-приложений, бета-версия ML-движка для статического анализа файлов и компактный отчет по результатам анализа.

2️⃣ В сфере администрирования: управление конфигурацией виртуальных машин из консоли и гибкое разграничение прав пользователей (RBAC).

3️⃣ В части инсталляции и масштабирования: единый установщик для PT Sandbox, PT MultiScanner, PT Email Security и PT Email Gateway, а также использование общего ресурса узлов поведенческого анализа несколькими инсталляциями продукта для оптимизации ресурсов.

👉 Регистрируйтесь и приходите, если хотите исследовать эффективнее, администрировать проще и масштабировать рациональнее.

#PTSandbox
@Positive_Technologies

👁 Три уязвимости, которые затрагивают 30 версий Windows, и один позитивный эксперт, который их обнаружил
 
Героем, спасшим миллионы пользователей от угрозы, стал руководитель группы анализа уязвимостей PT ESC Сергей Тарасов. Все три найденных им недостатка безопасности — PT-2026-584471 (CVE-2026-50471; BDU: 2026-07473), PT-2026-58468 (CVE-2026-50494; BDU: 2026-06812) и PT-2026-58283 (CVE-2026-58640; BDU: 2026-07474) — находятся в драйвере NTFS — компоненте, который обеспечивает работу файловой системы. Они коснулись 30 операционных систем разных версий и разрядности, включая Windows 10 и 11, а также Windows Server 2016, 2019, 2022 и 2025.

Масштабы угрозы

Windows — самая популярная в мире операционная система (около 70% на рынке десктопных ОС). В России она установлена более чем на 85% компьютеров. Самые массовые версии — Windows 10 (около 22 млн устройств) и Windows 11 (около 18,3 млн).

В корпоративном сегменте это тоже одна из самых востребованных систем для серверной инфраструктуры. Наши эксперты подсчитали, что в мире насчитывается более 6,5 млн уязвимых и доступных из интернета устройств под управлением Windows Server. В России наиболее распространены Windows Server 2025 (как минимум 160 тыс. серверов), Windows Server 2019 (73 тыс.), Windows Server 2022 (71 тыс.).
 
Что могло случиться

Найденные уязвимости оказались особенно коварны тем, что позволяют обойти средства защиты и надолго оставить вредоносную активность незамеченной.

Чтобы провести атаку, злоумышленникам достаточно было заставить жертву открыть VHD-файл, внутри которого скрывается специально созданный код, позволяющий установить на устройство любые программы. Для пользователя такой файл выглядит как обычная ZIP-папка, и двойной клик по нему ничем не отличается от открытия любого другого архива.

Опыт расследований PT ESC показывает, что чаще всего в результате подобных атак киберпреступники стараются установить шпионское ПО, которое следит за тем, какие данные пользователь вводит и какие сайты посещает. Но бывают и другие цели, например: зашифровать все файлы и потребовать выкуп или использовать ресурсы компьютера для майнинга криптовалюты.

Недостатки безопасности угрожали и бизнесу: если бы злоумышленникам удалось скомпрометировать одно из рабочих устройств, они смогли бы проникнуть в корпоративную сеть. А дальше, двигаясь по инфраструктуре, добраться до чувствительных коммерческих данных и клиентских баз данных. Это могло привести к утечке конфиденциальной информации, прерыванию производственных процессов или сбоям в работе критически важных сервисов.
 
К счастью, всего этого уже не случится: мы сообщили Microsoft о найденных дефектах, и компания уже выпустила обновления безопасности. Так что если вы ждали повода обновить Windows, это точно он.

#PositiveЭксперты
@Positive_Technologies