Порвали два трояна

🤯 Шелл-шок: чему учат PHP2Shell и Brotli

Последняя неделя даёт хорошее представление о том, как будет выглядеть управление уязвимостями в эпоху ИИ.

PHP2Shell (CVE-2026-109618 и -109619, CVSS 9.2) начался с паники. Детали утекли до релиза, патчи PHP вышли 21 октября, а Amazon заметили попытки эксплуатации ещё 17 октября. Затем ханипоты неделю бомбили миллионами запросов с нейрослопными «эксплойтами» с GitHub, а некоторые боты Mirai безуспешно ломились во все серверы, похожие на PHP. Пару громких заявлений о реальной эксплуатации исследователи потом отозвали. Подтверждённых шеллов за первые три дня так и не появилось.

Первая подтверждённая RCE засветилась лишь 24 октября, причём на ханипоте с Apache mod_php, то есть в самой удобной для атакующего конфигурации. Универсального эксплойта так и нет, поскольку параметры атаки нужно подбирать под каждую сборку сервера. Но 26 октября CISA внесла обе CVE в KEV и дала подотчётным ведомствам всего три дня на устранение дефекта.

Как выяснилось, реальная эксплуатация имеет самый неприятный вид: PHP2Shell связали с LPE в ядре Linux (Fragnesia, CVE-2026-46300) и получили root на 25 межсетевых экранах. После успешной компрометации атакующие нацелились на доменный контроллер, и вероятно, пытались закрепиться в инфраструктуре с целью шпионажа.

По данным Censys, из доступных сканированию 43,2 млн серверов с уязвимой версией PHP, сегодня всё ещё подвержены уязвимости 32,7 млн.

Уязвимость в Brotli (CVE-2026-111497) получила меньше внимания, в том числе потому, что разные команды исследователей изучили разные её аспекты и назвали каждая по-своему: Node2Shell, HTTP2Shell, Python2Shell, Broccoli2Shell, Brotli2Shell. Нашли дефект в OpenAI, а в Google исправили библиотеку ещё в феврале. Тогда проблема проходила больше по линии надёжности, а не безопасности. Первоначально октябрьская волна патчей в зависимых проектах началась с одного Node. js. Публичный PoC на стандартных сборках только ронял процесс, а в Red Hat отметили, что надёжного RCE нет. Потом копии уязвимого декодера нашлись в .NET, Windows-сборках PHP, DuckDB, ClickHouse, Apache Arrow, форках 7-Zip и много где ещё. Выискивать и патчить опасную зависимость надо для каждого проекта отдельно.

25 октября исследователи подтвердили, что смогли собрать рабочую цепочку, приводящую к RCE на стандартном Node.js 24.22.0, а уже 26 октября зафиксировали первую атаку. Пришла она с того же IP, с которого раньше эксплуатировали PHP2Shell. 27 октября CVE попала в KEV со сроком устранения до 10 ноября.

Тем временем, отдельные вендоры начали выпускать свои бюллетени для устранения дефекта. Так, в Broadcom оценили уязвимость в VMware SDDC Manager на 9.8 по CVSS.

А джекпот сорвала Palo Alto: PAN-OS задели и PHP2Shell, и Brotli. Во втором случае целью становится сам файрвол. Если включены расшифровка TLS и инспекция Brotli, вредоносные данные может прислать любой сайт, который открыл пользователь за файрволом. Многие хотфиксы для двух дефектов совпадают, так что админы хотя бы сэкономят время на перезагрузках.

Какой можно сделать вывод, глядя на всю эту кутерьму? Часть находок, сделанных ИИ — очень запутанные баги, которые сложно эксплуатировать. Даже опытные исследователи долго не могли понять, насколько они опасны. Импакт оказался реальным, но по CVSS и описанию заранее это не определить. Получается, что единственный надёжный сигнал — подтверждённая эксплуатация. Но этот сигнал поступает слишком поздно для оперативного реагирования.
Поэтому роль превентивного харденинга значительно растёт. Он хлопотный, но в итоге обходится дешевле, чем еженедельно разбирать очередную порцию слоп-PoC.

Ну а страховочной сеткой, конечно, служат развитые процессы детектирования и реагирования. Кстати, наш пост про PHP4Shell на Securelist обновили детектирующими правилами для Kaspersky EDR.

📣Что менять в защите КИИ перед 2027 годом

Когда: 28 октября 2026 в 11:00 (МСК)

Требования к защите критической информационной инфраструктуры растут с каждым годом. К традиционной дилемме «остановить систему или жить без патчей» и вечному вопросу «что отключать при кибератаке» добавляются вопросы категорирования, ответственности, доступа подрядчиков и импортозамещение.

Как выбирать меры защиты, организовывать реагирование и проверять восстановление КИИ? Об этом поговорим на  онлайн-конференции AM-Live! Обсудим:

▶️ изменения в требованиях к защите за последний год;
▶️ когда пересматривать результаты категорирования с учётом отраслевых перечней;
▶️ какие атаки в 2026 году создают наибольший риск остановки критичных процессов;
▶️ как автоматизировать учёт объектов КИИ и изменений в инфраструктуре; 
▶️ чем защищать систему, которую нельзя обновить и заменить;
▶️ какие три действия владельцу значимого объекта КИИ сделать до 1 марта 2027 года.

👤 От «Лаборатории Касперского» в дискуссии поучаствует Алексей Панюхин, старший менеджер предпродажной поддержки решений для бизнеса.

Встречаемся в среду: 28 октября 2026
Нужна предварительная регистрация.

Узнать о конференции и зарегистрироваться ⟶

Интересные исследования APT и oh shit новости ИБ за неделю

❗️ Технический анализ BlackX, нового UEFI-буткита на основе BlackLotus, используемого вероятно кластером APT41. Он применялся против дипломатических ведомств в странах Средней Азии.

🟢 Группа Storm-0940 атаковала более 2000 организаций с помощью ИИ-фреймворка для пентестов ARTEX. Атаки нацелены на инфраструктуру жертв в Microsoft 365. Группе приписывают в том числе компрометацию ConnectWise Cloud Backup.

❕ Разбор свежих TTPs APT Lazarus, применяемых в операции FlashHole. Злоумышленники злоупотребляли ПО CrossWeb EX, используемого в Южной Корее для доступа к онлайн-банкингу и другим важным сервисам. ВПО использует GitHub в качестве C2 и защищает свой трафик постквантовой криптографией.

🟢 Технический анализ нового Go-бэкдора MythicRatatoskr, использующего C2 в mesh-сети Yggdrasil. ВПО применяется группой UAC-0099.

🟣 Обзор TTPs APT28, включающих новый бэкдор Hookedge. Он запускает скрытый экземпляр Edge для доставки нагрузок.

🔵 Незащищённый сервер раскрыл детали работы оператора, использовавшего ИИ-фреймворк Cairn на базе DeepSeek против 66 целей, включая министерства и госведомства Вьетнама, Тайваня, Индонезии и Индии.

🟣 А в Латинской Америке другой фреймворк такого типа, CARLIY0S, использовался группой CyberCartel против более чем 400 финансовых организаций.

🔵 Обзор деятельности k0t — предположительно брокера первоначального доступа, компрометирующего устройства FortiGate, FortiWeb и GlobalProtect, в основном в Азиатско-Тихоокеанском регионе и Латинской Америке. Впоследствии его жертвы появлялись на DLS группировок Qilin и The Gentlemen.

🟣 Неизвестный злоумышленник внедрил бэкдор Ebury в 333 выходных узла Tor, то есть примерно в 10% от их общего количества. В течение нескольких дней в начале октября он перенаправлял SSH-сессии на свои серверы.

🟢 Используя похищенные OAuth-токены, злоумышленники опубликовали троянизированную версию LiteLLM 1.107.0 в официальных репозиториях проекта в PyPI и Docker. Она, как водится, крала учётные данные к облачным сервисам и ИИ-провайдерам. За два часа её скачали около 49000 раз.

🟣 Технический анализ нового ВПО HypeAgent. Это многофункциональный троянец для Windows, поддерживающий около 195 команд, включая скрытый RDP, и инжектор в Exodus Wallet для кражи seed-фраз.

🟣 GitLab выпустила патч для CVE-2026-110264 с оценкой CVSS 10.0. Дефект в regex-компиляторе позволял неаутентифицированному атакующему выполнять код на серверах, начиная с версии 7.0.

🟡 Браузеры и ОС заблокировали восемь промежуточных CA eMudhra и отозвали доверие к её корневому сертификату после ошибки 2025 года, из-за которой приватные ключи оказались слабыми, могли быть восстановлены и использованы для подделки доверенных сертификатов.

Знакомьтесь, победители финала Kaspersky CTF

Прямо перед началом Security Analyst Summit на этой неделе 14 команд-финалистов сошлись в серьёзной борьбе на очном финале Kaspersky CTF. В этом году особый интерес представляло одно задание, выполнить которое нужно было офлайн, без помощи поисковых систем или нейросетей🙃

Участники справились со всеми шестью заданиями, включая офлайновое.

Победители:
🥇BunkyoWesterns (Япония)
Команда участвует в финале SAS CTF третий раз, но не получала ни одного призового места в предыдущие два года. А в этот раз они сразу взяли золото!

🥈PwnSec (регион META)
Пришли на свой второй SAS CTF. После первой попытки команда сделала выводы, вернулась гораздо сильнее и заслуженно вошла в тройку лучших!

🥉 CUT (Россия)
Новички из Центрального университета устроили впечатляющий дебют! Именно они первыми справились с офлайн-задачей. А после заморозки видимой таблицы лидеров (scoreboards), когда они шли четвёртыми, команда в последний час буквально прорвалась в топ-3.

Наши поздравления чемпионам и спасибо всем 14 командам за впечатляющую демонстрацию знаний и умений!

⭐️ Краткие итоги Security Analyst Summit 2026

На нашей международной конференции ИБ-экспертов рассказали не только про новый буткит APT41 и обновлённые TTPs Lazarus. Эксперты из двух десятков стран поделились исследованиями про архитектуру нашумевших эксплойт-китов для iOS Coruna и DarkSword, способы ускорения реверс-инжиниринга при помощи ИИ, устройство ботнета Kimwolf, ошибки в OPSEC у APT36, уязвимостях для побега из изолированных сред ESXi, целой серии уязвимостей и мисконфигураций, разрушающих изоляцию клиентов у облачных провайдеров и даже то, как запустить Linux на PlayStation 5. Подробности и фрагменты докладов доступны в соцсетях конференции.

Специальный гость, вернее гостья в этом году — Жеральдин Фаснахт, знаменитая среди скайдайверов и фрирайдеров многочисленными впечатляющими спусками и победами в профильных соревнованиях.

Всего в конференции поучаствовали 180 делегатов из 26 стран, которые прочитали и послушали более трёх десятков докладов за два дня.

👀 Скучали по буткитам? Тогда знакомьтесь с BlackX

Злоумышленники, предположительно входящие в кластер APT41, значительно доработали ранее известный код буткита BlackLotus и применили его в атаках на дипломатические организации в Центральной Азии. Буткит BlackX используется для закрепления в ранее скомпрометированных системах и долгосрочного шпионажа за жертвами. Эксфильтрация данных ведётся на публично доступные облачные сервисы: Google Drive, OneDrive, Яндекс Диск.

Примечательно, что ВПО пытается отключать СЗИ на хостах, включая продукты «Лаборатории Касперского», но с защитой ЛК трюк не проходит.

Хотя уязвимость в процессах безопасной загрузки (CVE‑2023‑24932), эксплуатируемая этими буткитами, была устранена ещё в 2023 году, Microsoft не торопится целиком блокировать уязвимые загрузчики, поместив их в список DBX. В результате, даже установив обновления Windows, администраторы могли оставить систему уязвимой, если проигнорировали рекомендации Microsoft: обновить съёмные носители и диски восстановления, применить опциональные меры дополнительной защиты.
Поэтому буткитом можно успешно воспользоваться даже на многих Windows-системах, которые обновлялись недавно.

Подробностями исследования вчера поделились на международной конференции Security Analyst Summit 2026, а сегодня они публично доступны на Securelist.

🤯 Критические уязвимости в ядре PHP

Два критических дефекта в PHP будут устранены срочным патчем сегодня в 17:00 (мск), поскольку информация об этих дефектах утекла до того, как их закрыли в плановом порядке. Оба бага (CVE-2026-109618 и CVE-2026-109619) имеют рейтинг CVSS4B в 9.2 и могут привести к RCE на сервере, использующем PHP. Затронутые версии пока не подтверждены окончательно, но вероятно это все версии с 5 по 8.

В соцсетях бродит демо-видео эксплойта PHP2Shell, срабатывающего на многих серверах с проектами, использующими PHP: от WordPress до Magento. По предварительным данным, дефекты связаны с повреждением памяти и использованием уже освобождённой памяти в ядре PHP. Атака работает без аутентификации.

Многие эксперты ожидают, что эксплуатация дефекта в атаках начнётся буквально через 15 минут после того, как станут ясны детали уязвимости. Поэтому администраторы, ответственные за публично доступные веб-серверы на базе PHP должны освободить себе сегодняшний вечер для срочной установки обновлений.

🔥 Новые приключения Lazarus

Исследователи «Лаборатории Касперского» сегодня опубликовали анализ операции FlashHole группы Lazarus, нацеленной на организации в Южной Корее.

Почти все компоненты ВПО, кроме загрузчика, работают исключительно в памяти. Среди впервые выявленных компонентов — TouchHub и ClientHub, дополняющие уже известные модули, такие как TouchShift, LPEClient и Cubridge. В этой атаке впервые зафиксировано использование Lazarus алгоритма SNOW для шифрования, а также организация C2-трафика для LPEClient через новый компонент ClientHub с применением ML-KEM (CRYSTALS-Kyber) — недавно стандартизированного постквантового алгоритма инкапсуляции ключей.

Подробности атаки были представлены сегодня на Security Analyst Summit 2026.

Полный разбор TTPs и IoC уже на Securelist!

✅ Как безопасно внедрять облачных ИИ-агентов в разработку: опыт «Лаборатории Касперского»

Мы подготовили практическую методичку, которая поможет сделать разработку с ИИ-агентами кибербезопасной.

Что внутри:
🟢 основные риски внедрения облачных ИИ-агентов в разработку ПО;
🟢 подходы «Лаборатории Касперского» к защите — изоляция рабочей среды, многоуровневое журналирование, LLM Gateway и другое;
🟢 чек-лист безопасного внедрения ИИ-агентов.

▶️ Скачайте по ссылке

Над документом работали:
• Игорь Кузнецов, директор Глобального центра исследований и анализа угроз «Лаборатории Касперского» (GReAT);
• Александр Лискин, руководитель управления исследования угроз;
• Владислав Тушканов, руководитель группы исследования технологий машинного обучения;
• Дмитрий Шмойлов, руководитель отдела безопасности программного обеспечения;
• Егор Михайлов, руководитель отдела развития инструментов и инфраструктуры;
• Владимир Рябинин, руководитель группы разработки.

Интересные исследования APT и новости ИБ за неделю

👀 Технический анализ PEERSTITCH — бесфайлового импланта для FortiGate, который группа CL-STA-0954/UNC5820 развернула после компрометации FortiManager в инфраструктуре сервис-провайдера (MSP).

🔎 Обзор TTPs группы Silent Lynx/UAT-6275/TAG-193, которая провела как минимум восемь шпионских кампаний против госорганов в девяти странах СНГ, сосредоточившись на организациях в сфере дипломатии, природопользования, водных ресурсов и энергетики.

😮 Новый вид «эфемерной» атаки на цепочку поставок. Группа UNC7017 скомпрометировала серверы обновления ПО AOMEI Backupper, но переключала их на раздачу ВПО лишь кратковременно. Исследователи задетектировали только три окна активности за два месяца, каждое длительностью всего 5-10 минут.

🌐 Разбор недавней атаки UTA0576, в которой была применена цепочка 0day в Ivanti Connect Secure против полностью обновлённого устройства. Уязвимость повышения привилегий в этой цепочке до сих пор не устранена.

🟠 Обзор инструментария и TTPs группировки Insolent Hyena, которую по итогам анализа переквалифицировали в шпионскую. Используется новое ВПО NightStrike, а также импланты фреймворков AdaptixC2, Cobalt Strike и Havoc.

💻 Анализ TTPs операторов MicrosoftSystem64 RAT, который распространяется как минимум через 88 GitHub-репозиториев на темы AI-агентов и трейдинга, скрывающих вредоносные npm-зависимости внутри работоспособного ПО.

👮‍♀️ Атакующий захватил как минимум 143 устройства в 34 странах, включая D-Link NAS, Ubiquiti NVR и, что самое интересное, серверы SAP NetWeaver, и превратил их в узлы сети домашних прокси IPRoyal.

📱 Технический анализ нового Android-банкера Hirudo, который подменяет приложения семи индонезийских банков их троянизированными копиями, имитирующими проверки подписи, Accessibility и Play Integrity.

🟡 Разбор инфостилера Aoki. Его новые сборки крадут учётные данные и сессии ИИ-агентов Claude, Codex, Cursor, GitHub Copilot и Kiro.

🍏 Анализ Divine Seagull — модульного эксплойт-кита для iOS, который продаётся китаеязычным операторам мошеннических схем.

⌨️ Как минимум 45 компьютеров в редакции Al Jazeera стали целью шпионского ПО Candiru/Integrity Labs. Доставку ВПО только нужным мишеням помогла осуществить платформа компании Discover-Tech.

❗️ Cisco выпустила патч для CVE-2026-76519, активно эксплуатируемой уязвимости в Secure Email Gateway, позволяющей неаутентифицированному атакующему выполнять команды с правами root, отправив письмо со специально сформированным вложением.

🟢 Не отстаёт и Palo Alto Networks — CVE-2026-0322 в интерфейсе управления PAN-OS даёт атакующим root-доступ к файрволам PA-Series, VM-Series и Panorama.

🪲 Как минимум с 10 сентября злоумышленники эксплуатируют CVE-2026-110447 — инъекцию команд в приложении Collabora Online Built-in CODE Server для Nextcloud.

🟠 PoC под названием AnyPwn эксплуатирует переполнение кучи в AnyDesk и позволяет получить root в Linux через TCP-порт 7070 ещё до подтверждения соединения. Обновляемся до версии 8.0.3.

⚙️ В ночь на 11 октября злоумышленники перевели сотни холодильных установок во французских супермаркетах, включая Intermarché и Super U, в режим разморозки через доступные из интернета контроллеры Danfoss, что привело к порче продуктов и нескольким возгораниям.