🔒 Дайджест событий в области информационной безопасности с 21 апреля 2025 года по 27 апреля 2025 года

📈 Анализ активности ботнетов:

Усилилась активность внутри РК, мы можем наблюдать высокий пик, который генерируется одним узлом на Windows, заинтересованном в SMB (TCP/445). Впрочем, если его отфильтровать, подъём всё равно будет заметен, в ~2.4 раза

Говоря о сигналах от мира, общий уровень незначительно упал, на 12%. Интересны падение DNS и NTP (волна прошлой недели спала, теперь объём в 2 раза меньше) и всплески активности из Румынии (несколько пиков TCP/5060 от одного IP), России (несколько пиков из разных мест), Нидерланд (один IP у провайдера SpectraIP) и Польши (один IP у провайдера MEVSPACE)

💥 Взломы и атаки:

☄️ В официальную библиотеку разработки для криптовалюты XRP (Ripple) был добавлен троян, который передавал закрытые ключи кошельков злоумышленникам. Предположительно, взломан один из сотрудников Ripple. Анализ Aikido

☄️ Patchstack предупреждает о схеме атаки на администраторов WooCommerce - под видом оповещения об уязвимости в фишинговом письме предлагается установить патч, который на самом деле открывает злоумышленнику доступ к управлению сайтом

☄️ Группы UTA0352 и UTA0355 атакуют НКО под видом европейских дипломатов, описывают в Volexity. Иллюзия легитимности усиливается активным использованием облачной инфраструктуры Microsoft - через неё проводятся все операции

☄️ Северокорейская группировка Contagious Interview (подразделение Lazarus) пытается заражать разработчиков криптовалютных систем, создавая целые поддельные компании, с многоступенчатыми интервью и ИИ-сгенерированными аватарами "сотрудников". Масштаб демонстрируют исследователи Silent Push

😈 Малварь:

1️⃣ Компания DarkTrace обнаружила вирус, который обфусцирован в 63 слоя

2️⃣ Японский координационный центр CERT анализирует вредоносное ПО удалённого управления DslogdRAT, которое избегает лишнего внимания, отвечая на запросы только в рабочее время

🔒 Уязвимости:

⚠️ Исследователь Snoolie Keffaber описал уязвимость в библиотеке распаковки Apple Archive в macOS и iOS. Было возможно записывать файлы в произвольную локацию при извлечении архива, обходя защиту. Обновления для системы предоставлены заблаговременно под идентификатором CVE-2024-27876, но стороннее ПО, работающее с архивами, может быть уязвимо

⚠️ В ReliaQuest обнаружили критическую уязвимость SAP NetWeaver Visual Composer, позволяющую загружать вредоносные файлы без прав на это (CVE-2025-31324). Уже зафиксированы атаки на эту уязвимость. SAP выпустили патч

⚠️ В Rack, библиотеке Ruby, на которую опираются многие другие, включая Ruby on Rails и Sinatra, обнаружено несколько уязвимостей. Наиболее критичная, CVE-2025-27610, позволяет читать произвольные файлы. Анализ OPSWAT

➕ Файл ниже содержит IoA/IoC из аналитических отчетов этого выпуска дайджеста. Вы можете использовать их для обнаружения вредоносной активности