Интересные исследования APT и новости ИБ за неделю
👀 Технический анализ PEERSTITCH — бесфайлового импланта для FortiGate, который группа CL-STA-0954/UNC5820 развернула после компрометации FortiManager в инфраструктуре сервис-провайдера (MSP).
🔎 Обзор TTPs группы Silent Lynx/UAT-6275/TAG-193, которая провела как минимум восемь шпионских кампаний против госорганов в девяти странах СНГ, сосредоточившись на организациях в сфере дипломатии, природопользования, водных ресурсов и энергетики.
😮 Новый вид «эфемерной» атаки на цепочку поставок. Группа UNC7017 скомпрометировала серверы обновления ПО AOMEI Backupper, но переключала их на раздачу ВПО лишь кратковременно. Исследователи задетектировали только три окна активности за два месяца, каждое длительностью всего 5-10 минут.
🌐 Разбор недавней атаки UTA0576, в которой была применена цепочка 0day в Ivanti Connect Secure против полностью обновлённого устройства. Уязвимость повышения привилегий в этой цепочке до сих пор не устранена.
🟠 Обзор инструментария и TTPs группировки Insolent Hyena, которую по итогам анализа переквалифицировали в шпионскую. Используется новое ВПО NightStrike, а также импланты фреймворков AdaptixC2, Cobalt Strike и Havoc.
💻 Анализ TTPs операторов MicrosoftSystem64 RAT, который распространяется как минимум через 88 GitHub-репозиториев на темы AI-агентов и трейдинга, скрывающих вредоносные npm-зависимости внутри работоспособного ПО.
👮♀️ Атакующий захватил как минимум 143 устройства в 34 странах, включая D-Link NAS, Ubiquiti NVR и, что самое интересное, серверы SAP NetWeaver, и превратил их в узлы сети домашних прокси IPRoyal.
📱 Технический анализ нового Android-банкера Hirudo, который подменяет приложения семи индонезийских банков их троянизированными копиями, имитирующими проверки подписи, Accessibility и Play Integrity.
🟡 Разбор инфостилера Aoki. Его новые сборки крадут учётные данные и сессии ИИ-агентов Claude, Codex, Cursor, GitHub Copilot и Kiro.
🍏 Анализ Divine Seagull — модульного эксплойт-кита для iOS, который продаётся китаеязычным операторам мошеннических схем.
⌨️ Как минимум 45 компьютеров в редакции Al Jazeera стали целью шпионского ПО Candiru/Integrity Labs. Доставку ВПО только нужным мишеням помогла осуществить платформа компании Discover-Tech.
❗️ Cisco выпустила патч для CVE-2026-76519, активно эксплуатируемой уязвимости в Secure Email Gateway, позволяющей неаутентифицированному атакующему выполнять команды с правами root, отправив письмо со специально сформированным вложением.
🟢 Не отстаёт и Palo Alto Networks — CVE-2026-0322 в интерфейсе управления PAN-OS даёт атакующим root-доступ к файрволам PA-Series, VM-Series и Panorama.
🪲 Как минимум с 10 сентября злоумышленники эксплуатируют CVE-2026-110447 — инъекцию команд в приложении Collabora Online Built-in CODE Server для Nextcloud.
🟠 PoC под названием AnyPwn эксплуатирует переполнение кучи в AnyDesk и позволяет получить root в Linux через TCP-порт 7070 ещё до подтверждения соединения. Обновляемся до версии 8.0.3.
⚙️ В ночь на 11 октября злоумышленники перевели сотни холодильных установок во французских супермаркетах, включая Intermarché и Super U, в режим разморозки через доступные из интернета контроллеры Danfoss, что привело к порче продуктов и нескольким возгораниям.