Tech Talk

Две кибергруппировки не поделили эксплойт, и одна взломала инфраструктуру другой

Хакерам из группы ShinyHunters удалось обнаружить уязвимость на ресурсах своих конкурентов из Cl0p и полностью захватить их инфраструктуру. Взломанный сайт сейчас недоступен, но исследователи из eCrime.ch сохранили скриншот с сообщением «Домен захвачен ShinyHunters», что может свидетельствовать о реальности событий.

По словам экспертов в области информационной безопасности, «разборки в духе уличных конфликтов — вполне реальное явление для даркнета», но чтобы одна киберпреступная группировка столь открыто и прямо атаковала другую — случай беспрецедентный.

Поводом для конфликта стала кража эксплойта. Представители ShinyHunters заявили, что первыми нашли 0-day уязвимость в комплексе Oracle E-Business Suite (EBS). Однако Cl0p перехватили их разработку и успели использовать её для взлома более чем 100 компаний.

Когда конфликт обострился, Cl0p пригрозили деанонимизировать членов ShinyHunters, а те в ответ пообещали сливать внутреннюю документацию и структуру соперников. Завершился шантаж прямым взломом серверов Cl0p.

App Store снова не грузится у российских пользователей

По данным сервиса Сбой.РФ, если вчера была всего 21 жалоба, то сегодня уже 474. Больше всего обращений зафиксировано в Москве — 18% от общего количества. На Новосибирскую область приходится 10% жалоб, на Челябинскую область — 8%, на Хабаровский край и Кузбасс — по 7%, на Пермский край и Татарстан — по 6%. В некоторых случаях проблему помог решить VPN.

Detector404 также фиксирует сбой в работе магазина приложений Apple. Всплеск жалоб пришёлся примерно на 9:00 МСК, но их количество пока сравнительно небольшое — 87 за посоедние сутки. В июле россияне уже жаловаись на недоступность App Store, а Роскомнадзор поспешил заявить о своей непричастности к сбоям.

Российские пользователи снова жалуются на работу DeepSeek

Китайская нейросеть сбоит не впервые, но в этот раз всего за несколько часов число жалоб превысило 1,2 тысячи (проблемы, судя по графику, начались ближе к полудню). По данным Detector404, чаще всего пользователи сталкиваются с сообщением о «слишком частом редактировании».

География сбоя широкая: проблемы фиксируют в Санкт-Петербурге, Приморском крае, Кузбассе, Подмосковье, а также в Самарской, Нижегородской и Ярославской областях.

UPD 19.09.2026: Сбой продолжается, уже больше 3,3 тысяч жалоб за сутки.

Российский хакер с помощью ИИ построил «прокси-империю» из взломанных роутеров

Но при этом он сам забыл закрыть свой сервер от посторонних глаз, благодаря чему его и нашли исследователи из Cybernews. Как выяснилось, хакер под ником LeakySensey сумел пропатчить клиент Claude Code, превратив ИИ в автономного агента для поиска уязвимостей в старых роутерах и NAS-накопителях.

Он сканировал сеть на наличие устаревших VPN-протоколов (PPTP и L2TP) и брутфорсил их стандартными слабыми логинами и паролями вроде admin, admin123 и прочих qwerty.

В целом ему удалось захватить свыше 87 000 IP-адресов, которые затем перепродавались через Telegram-ботов и сторонние сервисы, заработав порядка $202 000. Парадокс в том, что сам хакер забыл защитить свой сервер на облачном провайдере OVHcloud. В открытом доступе оказались базы клиентов, логи продаж, исходный код и даже майнер Monero, который на его сервер ранее тихо подкинули другие киберпреступники.

Спрос на такие резидентские прокси-сети огромный, поскольку «белые» IP-адреса домашних провайдеров легко проходят проверки антифрод-систем и капчи. Ранее мы уже разбирали подобные схемы: со взломом TV-приставок для «обычной» аренды IP-адресов; с захватом «умных» устройств для китайского кибершпионажа.

Обсуждаем главные события в мире технологий, ИИ и инфобеза в долгожданном выпуске 2weekly:

▪️Минцифры планирует сделать «Алису AI» от Яндекса неудаляемым системным помощником на всех смартфонах

▪️Утечка KYC-данных и криптокошельков из Revolut через взломанную почту правоохранителей Италии

▪️Вредонос GuardBreaker научился обходить ИИ-анализаторы кода с помощью промпт-инъекций в комментариях

▪️GPT-6 Astra набрала 99,95% в тесте ARC AGI 3 и почему в OpenAI заявляют о создании универсального ИИ

▪️Linux продолжает расти, а Windows теряет долю рынка по свежей статистике Statcounter

Смотрите эти и другие темы здесь — https://youtu.be/mHtzWfP8_X0

Водяные знаки в LLM делают нейросети уязвимыми к промпт-инъекциям

Внедрение «AI-вотермарок» — одно из требований закона ЕС об ИИ. В текстовых LLM-моделях это не логотип или метаданные, а своего рода «математический узор» в подборе слов. К примеру, Anthropic планирует использовать в Claude алгоритм с открытым исходным кодом SynthID-Text от Google. В нём секретный ключ слегка меняет вероятности выбора токенов, поэтому текст выглядит для человека обычным, но при этом содержит считываемую машиной закономерность.

Исследователи из Lasso Security протестировали алгоритм и выяснили, что этот микросдвиг вероятностей подрывает защиту LLM. Под воздействием промпт-инъекций нейросеть или ИИ-агенты начинают выполнять вредоносные команды вроде разглашения паролей.

Уровень уязвимости меняется даже при смене секретного ключа. В Lasso Security подчёркивают, что разработчикам необходимо проводить ред-тиминг и стресс-тесты ИИ-систем с обязательно включённым механизмом водяных знаков ещё до их публичного развёртывания.

AWS не сможет восстановить работу своих вычислительных центров в Бахрейне и ОАЭ

Спустя полгода после атаки иранских дронов Amazon Web Services заявила, что не сможет вернуть доступ к ресурсам и данным в регионе Бахрейн (me-south-1) и одной из зон ОАЭ. Масштаб физических разрушений вышел далеко за рамки предусмотренных сценариев устойчивости к катастрофам и ЧП.

Во время недавней войны США с Ираном под удар попали несколько площадок: ЦОД в ОАЭ получили прямые попадания, а объект в Бахрейне пострадал от взрыва поблизости. Серверы и накопители в итоге были физически уничтожены, данные восстановлению не подлежат.

Эти атаки вызвали вопросы о безопасности будущих проектов по строительству дата-центров в регионе Персидского залива, который стремится извлечь выгоду из резкого роста спроса на инфраструктуру, вызванного бумом в сфере ИИ. Сейчас AWS пытается восстановить две другие повреждённые зоны в ОАЭ, а решение по Бахрейну компания обещает предоставить в начале 2027 года.

Хакеры обрушили инфраструктуру Международной метеорной организации

Международная метеорная организация (IMO) сообщила о кибератаке, нанёсшей «критический удар» по её устаревшей инфраструктуре. В результате были выведены из строя базы данных и большая часть сайта, поэтому своё сообщение организации пришлось размещать на статической странице-заглушке.

На восстановление и переезд, отмечает IMO, уйдёт несколько недель, так что работу ей придётся временно приостановить, но при этом она продолжит собирать свидетельства о метеоритах и болидах.

Зачем кому-то понадобилось атаковать трекер космических объектов, неизвестно. Все архивы IMO, собранные из любительских и профессиональных наблюдений с описаниями, фото и видео пролётов, всегда были публичными, никаких секретных данных у неё никогда не было. Требований выкупа или заявлений от хакеров не поступало.

Минцифры ведёт переговоры с Apple о подключении 5G на айфонах россиян

Об этом рассказал сам глава министерства Максут Шадаев. Первые сети связи пятого поколения были запущены на прошлой неделе в 16 городах страны.

Диалог начинается после того, как на компанию неоднократно были наложены многомилионные штрафы, а Минцифры в апреле запретило оплачивать услуги сервисов Apple с мобильных телефонов.

Хакеры заявили о взломе инфраструктуры российского Центризбиркома

Анонимная группировка CikLeak утверждает, что скачала секретные документы и внутренние чаты разработчиков, а также получила конфигурацию серверов, пароли и другую информацию. На своём сайте хакеры выложили скриншоты с данными участников территориальных избирательных комиссий, которые включают ФИО, электронную почту, паспортные данные и мобильные телефоны, — часть информации на скринах заблюрена.

По словам CikLeak, взлому также подверглись подрядчики ЦИКа — «Ростелеком», «Цифротех» и другие компании, участвовавшие в разработке системы ГАС «Выборы» 2.0.

Все эти материалы были переданы журналистам, а некоторые СМИ уже подтвердили подлинность взломанного архива. Хакеры утверждают, что дистанционное электронное голосование не гарантирует прозрачных выборов, и под своим обращением к избирателям разместили игру-бродилку по подземелью ЦИК, где можно найти секретный компьютер и загрузить нужные результаты в ГАС «Выборы».

Последствия утечки из Revolut: кража биткоинов и шантаж компании под угрозой раскрытия данных клиентов

История с передачей данных клиентов Revolut «по запросу госоргана» получила опасное продолжение. Выяснилось, что хакеры взломали почтовую инфраструктуру итальянских правоохранителей и около полугода отправляли в банк «официальные» запросы с валидной цифровой подписью домена, выкачав попутно 147 ГБ данных самой полиции.

Недавно злоумышленники запустили сайт IAmNotAVillain, где порционно выкладывают данные клиентов, вымогая от Revolut выкуп под угрозой ежедневных сливов. Опубликованные образцы включают сканы паспортов, селфи верификации, IBAN и всю историю транзакций, включая операции с BTC. Но и на этом злоумышленники не остановились — пользователи уже сообщают о пропаже биткоинов со своих счетов. Известно, что от инцидента пострадали клиенты из Италии, Франци, Германии, Великобритании и других стран.

Атака стала возможна из-за уязвимости итальянской сертифицированной почты (PEC). Письма с неё имеют юридическую силу, но для входа в аккаунт нужен лишь логин и пароль — без 2FA или верификации через CieID (итальянский аналог Госуслуг). К тому же PEC не требует цифровой подписи на самих вложениях. Украв пароль сотрудника МВД, хакер направил запрос в литовский филиал Revolut, который был обязан исполнить требование с официального домена.

UPD: Один из предполагаемых участников атаки требует у Revolut выкуп в размере 3 млн долларов США и угрожает продать похищенные клиентские данные другим преступникам.

Северокорейские айтишники вербуют в Discord подставных соискателей для устройства в зарубежные компании

Исследователи из Silent Push раскрыли схему, с помощью которой IT-специалисты из КНДР обходят санкции и устраиваются на удалёнку в американские и европейские компании. Они нанимали посредников, которые должны были изображать кандидатов перед работодателем, получать зарплату на свой счёт, оставляя себе 35%, а остаток переводить организатору схемы.

Объявления о найме размещались в Discord-сообществе Mouse Review. Эксперты Silent Push провели контрольную закупку и пообщались с вербовщиком, который рассказал об условиях сотрудничества. При приёме на работу прокси-соискатель должен был сидеть перед камерой на собеседовании, но вместо него северокореец подсказывал ответы или выполнял все задачи через удалённый доступ (AnyDesk, TeamViewer).

Не обошлось и без VPN. Вербовщик сразу посоветовал использовать Astrill, который Silent Push связывала с инфраструктурой северокорейских IT-группировок. После того, как в разговоре была упомянута КНДР, он сразу прервал связь. Позже Silent Push изучила технические, финансовые и инфраструктурные данные и заявила, что с высокой уверенностью считает оператора гражданином КНДР.

Россиянам за рубежом будет проблематично проголосовать онлайн

Судя по всему, дело в «обратных» блокировках. Сами избирательные сервисы остаются доступными, но затруднена авторизация из зарубежных сетей, сообщают «Теплица» и The Bell. Например, страница mos.ru открывается без проблем, но залогиниться в login.mos.ru не получается. В некоторых случаях помогает платный VPN.

Портал Дистанционного электронного голосования (ДЭГ) vybory.gov.ru открывался со всех точек, однако с немецкого сервера не отвечали «Госуслуги» и ЕСИА, через которые осуществляется авторизация. Через другие зарубежные подключения они работали, поэтому общий уровень недоступности пока оценить сложно.

Фильтрация же в мобильном приложении «ДЭГ — 2026» работает жёстче. С домашнего интернета в Санкт-Петербурге и одной из стран ЕС оно открылось, авторизация через ЕСИА также была доступна, но при входе с пяти VPS и VPN (в том числе российских) приложение выдавало ошибку.

Сайты избиркомов оказались недоступны со всех проверенных зарубежных точек. Это касается и сайта ЦИК, и выбранных для проверки сайтов региональных комиссий.

Хакерские группировки впервые попали в перечень экстремистских и террористических организаций

Росфинмониторинг внёс в свой реестр Silent Crow и «Киберпартизаны BY», которые ранее заявляли о взломе информационной системы «Аэрофлота» в 2025 году. В июле Верховный суд РФ установил, что за ними стоят атаки на инфоструктуры России и Белоруссии. На данный момент других хакерских организаций в реестре российской финансовой разведки нет.

Правообладатели пытаются связать «пиратов» с пропагандой терроризма

Организация Digital Citizens Alliance (DCA) выпустила претенциозный доклад о том, как «запрещённые вещатели попадают в дома американцев». Вместе с аналитиками risk3sixty они купили подписки на 25 пиратских IPTV-сервисов ($15 в месяц) и заявили, что 17 из них свободно транслируют в США каналы «Хезболлы», «Хамаса», хуситов и проиранских группировок. Последние 20 лет эти каналы блокировались США и их союзнниками на уровне спутников, а также доменов.

Как отмечает отраслевое издание TorrentFreak, авторы пугают растущей угрозой радикализации американцев, но при этом умалчивают о числе реальных зрителей. К тому же эфиры идут на арабском языке и без субтитров. DCA, связанная с медиагигантами и правообладателями, годами продвигает нарратив о пиратстве как «угрозе нацбезопасности», а релиз исследования как раз перед годовщиной 11 сентября лишь подчёркивает лоббистский подтекст, замечает TorrentFreak.

P.S.: Здесь также хочется вспомнить аргументацию российских прокуроров, когда обосновывая решение о блокировке HideMy Name, они заявили, что с его помощью можно получить доступ к книге «Майн кампф».

Revolut по ошибке выдал мошенникам данные своих клиентов, включая селфи и криптовалютные транзакции

По словам банка, им пришло фейковое письмо (или несколько писем) от государственного органа неназванной страны, на которое они отвечали данными своих клиентов, включая копии документов, селфи и всю историю транзакций, включая операции с Bitcoin.

Немецкая полиция читает переписку WhatsApp, Telegram и Signal без нарушения шифрования

Журналисты netzpolitik.org изучили секретный документ Таможенного криминального управления Германии (ZKA) и выяснили, что полиция ещё в 2023 году тестировала метод, известный как «клонирование аккаунтов». В прошлом году он стал постоянным инструментом силовых структур ФРГ.

Шифрование никто не ломает, полицейские просто привязывают свой компьютер к аккаунту цели через обычную веб-версию. Как правило, для запуска мессенджера на ПК, требуется отсканировать QR или ввести проверочный код. Полицейские могут получить такое подтверждение через физический доступ к смартфону, перехват SMS или фишинг.

В одном из эпизодов супруги дали офицерам телефон сфотографировать переписку дочери, а те незаметно отсканировали QR-код и подняли сессию на своём компьютере. После привязки устройство силовиков получает всю переписку в реальном времени, а Signal вдобавок подтягивает архив сообщений за последние 45 дней.

Хотя в январе 2026 года Федеральный суд ФРГ признал такой метод глубоким вмешательством, требующим строгих судебных санкций, ZKA продолжило работать по старым правилам. Чтобы защититься от подобных методов, имеет смысл время от времен проверять в настройках мессенджера наличие связанных устройств и отключать подозрительные сеансы.

Российские и китайские хакеры использовали Claude в незаконных целях

В своём новом отчёте Anthropic рассказала о попытках задействовать её ИИ для разработки оружия и кибератак. По данным компании, юзеры из России, Китая и Йемена привлекали Claude к написанию софта для ракет, ударных дронов и систем наведения. Также были попытки из неназванных стран, где не работает Anthropic, использовать нейронку для создания биологического оружия.

Отдельный блок посвящён группировке Midnight Blizzard, которую связывают с российской военной разведкой. Хакеры задействовали Claude для кибершпионажа против украинских ведомств, военных и дипломатов. ИИ помогал им на всех этапах — от автоматизации фишинга и взлома гостиничного Wi-Fi до перехвата аккаунтов в WhatsApp. Но главное, что хакеры научили Claude «на лету» переписывать код вредоносных программ, как только их фиксировали защитные системы.

В Китае же разработчики сосредоточились на краже ИИ-наработок и промышленном шпионаже. Сразу семь местных ИИ-лабораторий, включая Alibaba, DeepSeek, Moonshot и Xiaomi, занялись «дистилляцией», то есть выкачивали ответы Claude для обучения собственных моделей. Одна только Alibaba создала более 3,5 тысяч фейковых аккаунтов и сгенерировала 151 миллион запросов для прокачки своей нейросети Qwen, а DeepSeek и Moonshot и вовсе проксировали диалоги своих юзеров напрямую через американскую модель.

Surfshark сообщила о взломе, но пользователи VPN при этом не пострадали

Причиной инцидента стал человеческий фактор: инженеры компании оставили внутренний тестовый сервер открытым из интернета, чем воспользовались хакеры. Злоумышленники получили доступ к фрагментам репозитория с исходным кодом, системным бинарникам, конфигурациям и учётным данным для сборки ПО.

Также они добрались до отдельного прокси-сервера, используемого для оптимизации контента, но на нём не было ни IP-адресов пользователей, ни ключей шифрования. Взлом заметили 31 августа, а 2 сентября сервер полностью изолировали.

Минцифры предлагает сделать «Алису AI» неудаляемой со смартфонов

Министерство обсуждает с IT-отраслью очередное изменение правил предустановки отечественного софта. Если раньше речь шла только о доступе ИИ-клиента к чувствительным данным и банкам, то теперь возможности «Алисы» могут стать ещё более значительными.

ИИ-ассистента планируют сделать системным и полностью неудаляемым приложением — по аналогии с RuStore. При этом «Алисе» хотят выдать максимальные привилегии: постоянный фоновый режим для голосовой активации и push-уведомлений, а также автоматическое обновление.

В Минцифры и «Яндексе» уверяют, что это просто «обеспечит равные условия» с зарубежными аналогами вроде Siri или Google Assistant.

Но в самой отрасли к таким изменениям отнеслись скепттически. Так, представляющая производителей и продавцов электроники РАТЭК просит приостановить проект из-за массы технических и юридических коллизий:

▪️фоновое обновление софта без согласия пользователя технически нереализуемо на закрытых ОС и создаёт угрозу утечек;
▪️обязательный доступ ИИ к системе прямо противоречит праву пользователя отзывать разрешения, из-за чего изготовитель ОС автоматически становится нарушителем;
▪️производители физически не успеют подготовиться к новым правилам, поэтому их вступление в силу просят отложить минимум на пять месяцев.