Порвали два трояна

📣Что менять в защите КИИ перед 2027 годом

Когда: 28 октября 2026 в 11:00 (МСК)

Требования к защите критической информационной инфраструктуры растут с каждым годом. К традиционной дилемме «остановить систему или жить без патчей» и вечному вопросу «что отключать при кибератаке» добавляются вопросы категорирования, ответственности, доступа подрядчиков и импортозамещение.

Как выбирать меры защиты, организовывать реагирование и проверять восстановление КИИ? Об этом поговорим на  онлайн-конференции AM-Live! Обсудим:

▶️ изменения в требованиях к защите за последний год;
▶️ когда пересматривать результаты категорирования с учётом отраслевых перечней;
▶️ какие атаки в 2026 году создают наибольший риск остановки критичных процессов;
▶️ как автоматизировать учёт объектов КИИ и изменений в инфраструктуре; 
▶️ чем защищать систему, которую нельзя обновить и заменить;
▶️ какие три действия владельцу значимого объекта КИИ сделать до 1 марта 2027 года.

👤 От «Лаборатории Касперского» в дискуссии поучаствует Алексей Панюхин, старший менеджер предпродажной поддержки решений для бизнеса.

Встречаемся в среду: 28 октября 2026
Нужна предварительная регистрация.

Узнать о конференции и зарегистрироваться ⟶

Интересные исследования APT и oh shit новости ИБ за неделю

❗️ Технический анализ BlackX, нового UEFI-буткита на основе BlackLotus, используемого вероятно кластером APT41. Он применялся против дипломатических ведомств в странах Средней Азии.

🟢 Группа Storm-0940 атаковала более 2000 организаций с помощью ИИ-фреймворка для пентестов ARTEX. Атаки нацелены на инфраструктуру жертв в Microsoft 365. Группе приписывают в том числе компрометацию ConnectWise Cloud Backup.

❕ Разбор свежих TTPs APT Lazarus, применяемых в операции FlashHole. Злоумышленники злоупотребляли ПО CrossWeb EX, используемого в Южной Корее для доступа к онлайн-банкингу и другим важным сервисам. ВПО использует GitHub в качестве C2 и защищает свой трафик постквантовой криптографией.

🟢 Технический анализ нового Go-бэкдора MythicRatatoskr, использующего C2 в mesh-сети Yggdrasil. ВПО применяется группой UAC-0099.

🟣 Обзор TTPs APT28, включающих новый бэкдор Hookedge. Он запускает скрытый экземпляр Edge для доставки нагрузок.

🔵 Незащищённый сервер раскрыл детали работы оператора, использовавшего ИИ-фреймворк Cairn на базе DeepSeek против 66 целей, включая министерства и госведомства Вьетнама, Тайваня, Индонезии и Индии.

🟣 А в Латинской Америке другой фреймворк такого типа, CARLIY0S, использовался группой CyberCartel против более чем 400 финансовых организаций.

🔵 Обзор деятельности k0t — предположительно брокера первоначального доступа, компрометирующего устройства FortiGate, FortiWeb и GlobalProtect, в основном в Азиатско-Тихоокеанском регионе и Латинской Америке. Впоследствии его жертвы появлялись на DLS группировок Qilin и The Gentlemen.

🟣 Неизвестный злоумышленник внедрил бэкдор Ebury в 333 выходных узла Tor, то есть примерно в 10% от их общего количества. В течение нескольких дней в начале октября он перенаправлял SSH-сессии на свои серверы.

🟢 Используя похищенные OAuth-токены, злоумышленники опубликовали троянизированную версию LiteLLM 1.107.0 в официальных репозиториях проекта в PyPI и Docker. Она, как водится, крала учётные данные к облачным сервисам и ИИ-провайдерам. За два часа её скачали около 49000 раз.

🟣 Технический анализ нового ВПО HypeAgent. Это многофункциональный троянец для Windows, поддерживающий около 195 команд, включая скрытый RDP, и инжектор в Exodus Wallet для кражи seed-фраз.

🟣 GitLab выпустила патч для CVE-2026-110264 с оценкой CVSS 10.0. Дефект в regex-компиляторе позволял неаутентифицированному атакующему выполнять код на серверах, начиная с версии 7.0.

🟡 Браузеры и ОС заблокировали восемь промежуточных CA eMudhra и отозвали доверие к её корневому сертификату после ошибки 2025 года, из-за которой приватные ключи оказались слабыми, могли быть восстановлены и использованы для подделки доверенных сертификатов.

Знакомьтесь, победители финала Kaspersky CTF

Прямо перед началом Security Analyst Summit на этой неделе 14 команд-финалистов сошлись в серьёзной борьбе на очном финале Kaspersky CTF. В этом году особый интерес представляло одно задание, выполнить которое нужно было офлайн, без помощи поисковых систем или нейросетей🙃

Участники справились со всеми шестью заданиями, включая офлайновое.

Победители:
🥇BunkyoWesterns (Япония)
Команда участвует в финале SAS CTF третий раз, но не получала ни одного призового места в предыдущие два года. А в этот раз они сразу взяли золото!

🥈PwnSec (регион META)
Пришли на свой второй SAS CTF. После первой попытки команда сделала выводы, вернулась гораздо сильнее и заслуженно вошла в тройку лучших!

🥉 CUT (Россия)
Новички из Центрального университета устроили впечатляющий дебют! Именно они первыми справились с офлайн-задачей. А после заморозки видимой таблицы лидеров (scoreboards), когда они шли четвёртыми, команда в последний час буквально прорвалась в топ-3.

Наши поздравления чемпионам и спасибо всем 14 командам за впечатляющую демонстрацию знаний и умений!

⭐️ Краткие итоги Security Analyst Summit 2026

На нашей международной конференции ИБ-экспертов рассказали не только про новый буткит APT41 и обновлённые TTPs Lazarus. Эксперты из двух десятков стран поделились исследованиями про архитектуру нашумевших эксплойт-китов для iOS Coruna и DarkSword, способы ускорения реверс-инжиниринга при помощи ИИ, устройство ботнета Kimwolf, ошибки в OPSEC у APT36, уязвимостях для побега из изолированных сред ESXi, целой серии уязвимостей и мисконфигураций, разрушающих изоляцию клиентов у облачных провайдеров и даже то, как запустить Linux на PlayStation 5. Подробности и фрагменты докладов доступны в соцсетях конференции.

Специальный гость, вернее гостья в этом году — Жеральдин Фаснахт, знаменитая среди скайдайверов и фрирайдеров многочисленными впечатляющими спусками и победами в профильных соревнованиях.

Всего в конференции поучаствовали 180 делегатов из 26 стран, которые прочитали и послушали более трёх десятков докладов за два дня.

👀 Скучали по буткитам? Тогда знакомьтесь с BlackX

Злоумышленники, предположительно входящие в кластер APT41, значительно доработали ранее известный код буткита BlackLotus и применили его в атаках на дипломатические организации в Центральной Азии. Буткит BlackX используется для закрепления в ранее скомпрометированных системах и долгосрочного шпионажа за жертвами. Эксфильтрация данных ведётся на публично доступные облачные сервисы: Google Drive, OneDrive, Яндекс Диск.

Примечательно, что ВПО пытается отключать СЗИ на хостах, включая продукты «Лаборатории Касперского», но с защитой ЛК трюк не проходит.

Хотя уязвимость в процессах безопасной загрузки (CVE‑2023‑24932), эксплуатируемая этими буткитами, была устранена ещё в 2023 году, Microsoft не торопится целиком блокировать уязвимые загрузчики, поместив их в список DBX. В результате, даже установив обновления Windows, администраторы могли оставить систему уязвимой, если проигнорировали рекомендации Microsoft: обновить съёмные носители и диски восстановления, применить опциональные меры дополнительной защиты.
Поэтому буткитом можно успешно воспользоваться даже на многих Windows-системах, которые обновлялись недавно.

Подробностями исследования вчера поделились на международной конференции Security Analyst Summit 2026, а сегодня они публично доступны на Securelist.