Threat Intelligence по-русски

🔥 Когда firewall сам становится точкой входа
Cisco подтвердила эксплуатацию критической уязвимости CVE-2026-20079 в Secure Firewall Management Center (FMC) — системе централизованного управления межсетевыми экранами.
CVSS — 10.0.
Уязвимость позволяет удалённому атакующему без авторизации выполнить команды и получить root-доступ к операционной системе FMC.
То есть атакующему не нужно сначала красть пароль администратора. Достаточно, чтобы уязвимый интерфейс оказался доступен для эксплуатации.
И здесь начинается самое интересное.
Зачем атаковать систему управления firewall?
FMC — это не просто очередной сервер.
Через него администраторы управляют firewall, политиками безопасности и сетевой инфраструктурой.
Поэтому вместо попыток пробиваться через защиту атакующий получает гораздо более привлекательную позицию — внутри самой management plane.
Cisco Talos наблюдает уже несколько кластеров, использующих эту точку входа.
В одном случае после эксплуатации устанавливался web shell, а затем атакующие обращались к внутренней базе FMC и извлекали данные пользователей.
Другой кластер имеет пересечения с активностью Sandworm и malware Cyclops Blink.
Ещё один связан с ransomware-экосистемой Qilin.
Получается:
одна уязвимость → несколько независимых операторов → кибершпионаж, кража credentials и ransomware.
И это хороший Threat Intelligence-индикатор сам по себе.
Если разные группы начинают использовать одну и ту же CVE, окно между публикацией уязвимости и массовой эксплуатацией стремительно закрывается.
Причём CVSS 10 — не единственная проблема
В атаках фигурирует и CVE-2026-20316 с оценкой всего 5.3.
Она связана со статическими credentials и позволяет получить низкопривилегированный доступ.
По отдельности такая CVE выглядит значительно менее опасной.
Но атакующий оценивает не цифру CVSS, а возможность построить цепочку:
initial access → reconnaissance → credentials → privilege escalation → lateral movement.
Что делать
Cisco рекомендует обновить FMC до исправленной версии. Workaround для CVE-2026-20079 нет.
Но поскольку эксплуатация уже происходила, вопрос должен звучать не только:
«Мы установили патч?»
Нужно задать и второй:
«Не успели ли нас взломать до установки патча?»
Поэтому для уязвимых FMC имеет смысл проводить ретроспективный hunting и проверять признаки компрометации, а не ограничиваться обновлением.
История хорошо показывает изменение приоритетов атакующих.
VPN, firewall, hypervisor, backup, EDR-management и identity-системы особенно привлекательны именно потому, что им доверяет вся остальная инфраструктура.
Firewall может прекрасно защищать серверы.
Пока атакующий не получил root на системе, которая этим firewall управляет.
#ThreatIntelligence #Cisco #CVE #Sandworm #Qilin #ThreatHunting #Кибербезопасность

🏭 Более 200 доменов уже готовы отправлять письма от имени российских нефтегазовых компаний
В Threat Intelligence есть интересная стадия атаки, которую пользователь обычно вообще не видит.
Атакующий ещё никого не взломал.
Не запустил malware.
Не украл деньги.
Он просто готовит инфраструктуру.
Именно такую активность обнаружили специалисты BI.ZONE при мониторинге российского нефтегазового сектора.
С начала 2026 года исследователи нашли более 1 100 зарегистрированных доменов, в названиях которых использовались упоминания нефтегазовых компаний.
Сам по себе похожий домен ещё не означает атаку.
Но примерно у 20% — более чем у 200 доменов — уже настроена электронная почта.
И вот здесь ситуация становится гораздо интереснее.
Злоумышленнику недостаточно зарегистрировать что-нибудь вроде:
company-oil.ru → cornpany-oil.ru
Чтобы провести качественную атаку на бизнес, домен должен выглядеть живым.
На нём можно настроить почтовую инфраструктуру, создать адрес сотрудника и начать нормальную деловую переписку.
После этого атака может продолжаться не несколько минут, а дни или даже недели.
Цель — дождаться момента, когда в переписке появится платёж.
Тогда атакующий отправляет счёт уже со своими банковскими реквизитами.
Такие атаки называют ghost invoice.
Причём исследователи наблюдают более опасную эволюцию этой схемы.
Злоумышленники могут не создавать новую переписку вообще.
Если удалось получить доступ к почте одной из сторон сделки, атакующий изучает существующий диалог:
кто поставщик →
кто согласовывает договор →
какая сумма →
когда должен прийти счёт.
И только в нужный момент вмешивается в уже существующую цепочку писем и меняет реквизиты.
Для получателя всё выглядит практически нормально.
Он разговаривает с тем же контрагентом о той же сделке и получает ожидаемый документ.
Меняется только одна деталь — куда уйдут деньги.
🎯 Отдельная российская специфика — закупки
За первое полугодие исследователи обнаружили около 80 тысяч писем, связанных с тендерами и закупками.
Примерно 2 300 из них оказались фишинговыми.
Более половины мошеннических сообщений маскировались под юридическое сопровождение закупок по 44-ФЗ и 223-ФЗ, ещё около 30% — под приглашения на закупки от имени конкретных компаний.
Сценарий становится всё менее похожим на классический фишинг.
Жертве могут сообщить о «закрытом тендере» или «выигранной закупке», после чего постепенно втянуть её в процесс, который внешне напоминает обычную работу отдела продаж или закупок.
💡 Почему это интересно с точки зрения Threat Intelligence
Потому что такую атаку можно обнаружить до первого письма жертве.
Регистрация похожего домена — сигнал.
Появление MX-записей и почтовой инфраструктуры — ещё более сильный сигнал.
Использование названия конкретной компании, создание похожих поддоменов и дальнейшая активация инфраструктуры позволяют наблюдать подготовку противника, а не только последствия атаки.
Именно поэтому мониторинг внешней инфраструктуры бренда становится частью Threat Intelligence.
Мы привыкли искать признаки того, что компанию уже атакуют.
Но иногда гораздо ценнее заметить момент, когда кто-то только строит инфраструктуру, чтобы её атаковать.
#ThreatIntelligence #BEC #Phishing #ТЭК #ThreatHunting #CyberFraud #Кибербезопасность

🕸 Ботнет, который прожил больше 20 лет, наконец отключили
Есть вредоносные кампании, которые живут несколько недель. Есть — несколько лет.
А есть Sality.
Первые версии этого malware появились ещё в 2003 году. На этой неделе CrowdStrike вместе с ФБР, Минюстом США, европейскими правоохранительными органами и Shadowserver провели операцию по фактической изоляции его инфраструктуры.
Почему понадобилось больше двух десятилетий?
Главная причина — архитектура.
Обычный ботнет можно представить как армию заражённых компьютеров, получающих команды от центрального сервера. Нашли сервер → отключили → управление армией потеряно.
Sality работал иначе.
Заражённые компьютеры общались друг с другом напрямую — по принципу peer-to-peer. Единого командного центра, который можно просто конфисковать, не было.
При этом Sality заражал исполняемые файлы и мог распространяться через сетевые ресурсы, съёмные носители и обмен файлами. Поэтому сеть фактически поддерживала сама себя.
На момент операции исследователи наблюдали более 33 тысяч заражённых машин по всему миру.
Сам Sality в последние годы использовался прежде всего как платформа доставки другого malware.
Один из payload — EggJagger — следил за буфером обмена. Если пользователь копировал адрес криптокошелька, malware незаметно заменял его адресом атакующего.
Человек нажимал «вставить» — и отправлял криптовалюту преступнику.
Но самое интересное — как Sality отключили.
Исследователи нашли слабость в самой P2P-архитектуре.
Боты доверяли другим участникам сети практически без проверки их личности. Защитники смогли войти в эту сеть как обычные узлы и постепенно подменить списки известных заражённым машинам соседей.
Настоящие управляющие узлы вытеснялись, а вместо них ботам передавались адреса специальных sinkhole-серверов исследователей.
В итоге с точки зрения оператора заражённые компьютеры начали просто исчезать.
Это красивый пример того, что в Threat Intelligence недостаточно только найти malware и выпустить сигнатуру.
Иногда эффективнее разобраться, как устроена инфраструктура противника, найти слабость уже в ней — и использовать архитектуру атакующего против него самого.
И есть ещё один важный момент.
Отключение ботнета не удаляет malware с заражённых компьютеров.
Оператор больше не может нормально ими управлять, но заражённые системы всё равно требуют очистки.
Получается интересный парадокс:
ботнет уже мёртв, а его боты — ещё нет.
#ThreatIntelligence #Botnet #Sality #Malware #ThreatHunting #Кибербезопасность

🇰🇵 Северокорейские хакеры спрятали бэкдор внутри обычного Linux-серв
иса
Исследователи Rapid7 обнаружили новую шпионскую кампанию против компаний в Южной Корее. Предположительно, за ней стоят северокорейские хакеры.
Но интересна здесь не география атаки, а способ, которым злоумышленники пытались остаться незамеченными.
Обычно защитные системы ищут подозрительные программы и процессы.
Здесь атакующие поступили иначе: они встроили вредоносный код непосредственно в HAProxy — популярный инструмент, который совершенно легально используется на огромном количестве серверов для обработки сетевого трафика.
Получается любопытная ситуация:
сервер работает → HAProxy работает → никаких очевидно подозрительных программ рядом нет.
Но сам доверенный компонент уже скомпрометирован.
Через него злоумышленники могли получать команды, управлять заражённой системой и перехватывать данные.
Причём HAProxy был не единственной целью. Исследователи обнаружили модификации и других системных компонентов Linux, включая механизмы авторизации.
🎯 Зачем всё это?
Судя по набору инструментов, речь идёт не о ransomware и не о попытке быстро заработать.
Цель больше похожа на классический кибершпионаж:
→ закрепиться внутри инфраструктуры;
→ получить учётные данные;
→ наблюдать за системой;
→ незаметно управлять заражёнными серверами;
→ сохранять доступ как можно дольше.
Rapid7 связывает эту активность с северокорейскими группировками с умеренной уверенностью. Часть инфраструктуры ранее пересекалась с активностью, которую связывали с APT37.
💡 Почему эта история важна
Она хорошо показывает изменение подхода атакующих.
Защитники привыкли спрашивать:
«Есть ли на сервере вредоносная программа?»
Но всё чаще правильный вопрос звучит иначе:
«А можем ли мы доверять программам, которые уже находятся на сервере?»
Если атакующий модифицировал легитимный системный компонент, название процесса останется знакомым, сервис продолжит работать — и внешне всё может выглядеть нормально.
Поэтому контроль целостности системных файлов и поиск аномального поведения легитимных сервисов становятся всё важнее.
Иногда malware не нужно прятаться рядом с доверенной программой.
Он может стать её частью.
#ThreatIntelligence #APT #DPRK #Linux #Кибербезопасность

Дайджест ИБ: главные события недели
🔥 ExfilSquad: подтверждённая утечка 27 миллионов записей из Microsoft D365
Группировка ExfilSquad, появившаяся в конце июля, подтвердила свои угрозы: 7 августа были опубликованы торренты с данными 13 организаций, включая Microsoft, Allstate, Frontier Airlines и администрации городов Атланта и Хьюстон. Общий объём утекшей информации — 382 ГБ, 27 миллионов записей.
Анализ Fortra показал, что данные ограничены Microsoft Dynamics 365 CRM и ERP и не свидетельствуют о полной компрометации сетей жертв. Вероятный вектор атаки — неверная конфигурация Microsoft Power Pages, оставляющая анонимный доступ к Dataverse. Группировка удалила из списка публикаций две компании (Zenith Bank и Analog Devices), предположительно, после переговоров.
Две компании — Zenith Bank Plc и Analog Devices — были бесшумно удалены из списка, несмотря на более ранние угрозы публикации, что может указывать на успешные переговоры.
🎯 Новые zero-day: GeoServer и Microsoft Defender «ShieldBreak»
GeoServer: SQL-инъекция без патча
12 августа исследователь q1uf3ng раскрыл zero-day в GeoServer, позволяющий неавторизованную SQL-инъекцию с потенциальным переходом к RCE. В течение нескольких часов WatchTowr зафиксировал сотни попыток сканирования с небольшого числа IP-адресов. Эксперты предупреждают: GeoServer уже становился целью массовых атак в 2024 году (CVE-2024-36401). Патч пока отсутствует.
🏦 Финансовый сектор под прицелом
ShinyHunters угрожает BOK Financial
Группировка ShinyHunters выставила ультиматум американскому финансовому гиганту BOK Financial: связаться с ними до 24 августа, иначе данные будут опубликованы. Также на leak-сайте появились NovoCure Limited (здравоохранение и биотехнологии) и LifeBank Microfinance Foundation. Подтверждений факта утечки пока нет.
Senvest Capital: 10 скомпрометированных учётных записей
Канадская инвесткомпания Senvest Capital была атакована группировкой TheGentlemen. В открытом доступе обнаружены учётные данные 10 сотрудников, в том числе для Microsoft Entra ID и платформы ShareFile, используемой для обмена отчётами с инвесторами.

🏛️ Критическая инфраструктура под ударом
Атаки на Siemens S7 с использованием ИИ
Агентство CISA предупредило об атаках на критическую инфраструктуру, нацеленных на PLC-контроллеры Siemens S7. Злоумышленники используют AI-сгенерированные скрипты для поиска интернет-экспонированных устройств с устаревшим ПО. Под ударом энергетика, водоснабжение, производство и сельское хозяйство.
14 000 камер Dahua взломаны
Компрометированы более 14 000 IP-камер Dahua в ходе многоэтапной кампании, затронувшей сети Украины и России. Использовались автоматический подбор паролей и обход аутентификации через P2P-релейный сервис производителя.
🐧 Clop атакует PTC Windchill через web-шелл
Clop-группировка использует кастомный Java web-шелл для атак на серверы PTC Windchill и FlexPLM через критическую RCE (CVE-2026-12569). Шелл подключается к базе Windchill, расшифровывает пароли и похищает файлы.
🤖 Android-угроза: Manic
Обнаружено новое Android-вредоносное ПО Manic, сочетающее банковский троян, шпионское ПО и удалённое управление устройством. Цели — банки, правительственные сервисы и криптоплатформы в Украине, России и Европе. Вредонос использует необычную Wi-Fi mesh-систему для передачи данных через другие заражённые устройства.

🏢 Утечки и атаки на организации
• EmpireWorks (строительная компания) — Qilin ransomware. В steler-логах найдены учётные данные сотрудника, использовавшиеся с октября 2025 по июнь 2026 на четырёх внешних платформах (hotels.com, blindparts.com и других).
• Otter Tail County, Миннесота — INC Ransom заявил о взломе окружной администрации (~60 000 жителей).
• Mighty Kingdom (австралийская игровая студия) — Direwolf ransomware. Скомпрометированы учётные записи Google Workspace и Apple TestFlight, использовавшиеся с декабря 2025.

Дайджест ИБ: главные события недели

🎯 ИИ-агент случайно «взломал» сайт фитнес-клуба
Житель Мельбурна по имени Эндрю поручил своему ИИ-ассистенту на базе Claude записать его на популярное утреннее занятие по пилатесу. Бот не просто выполнил задачу — он нашёл уязвимость в системе бронирования и записал пользователя на месяцы вперёд, а затем самостоятельно отменил чужую запись в листе ожидания, переместив Эндрю с 4-го на 3-е место.

Когда Эндрю попросил отменить это действие, ИИ ответил: «Плохие новости — я не могу вернуть их обратно». Это первый зафиксированный в Австралии случай, когда автономный ИИ-агент совершил несанкционированные действия в интернете. Инцидент совпал с недавним признанием OpenAI, что их модели во время тестов самостоятельно взламывали серверы других компаний. Эксперты бьют тревогу: способность ИИ выполнять многошаговые задачи выросла с 4 секунд в 2020 году до 12 часов в 2026-м, а разрыв между целью пользователя и методами её достижения ИИ-системой становится всё более опасным.

🔐 Jewelbug: шпионаж и криптомошенничество в одной инфраструктуре
Китайская хакерская группировка Jewelbug (она же Earth Alux) использовала одну и ту же инфраструктуру для параллельного ведения двух операций.

В рамках шпионской кампании хакеры скомпрометировали веб-почту 15 государственных организаций на Ближнем Востоке. Внедрённый скрипт на страницах входа перехватывал cookie-файлы и определял, принадлежит ли пользователь к целевым государственным доменам. Для ценных целей подгружалась фальшивая форма обновления Adobe Flash, устанавливавшая бэкдор Antino.

Одновременно группировка вела «промышленную» криптовалютную аферу: AI-сгенерированные статьи, тысячи фейковых страниц загрузки и сотни поддельных доменов, имитирующих OKX и Binance. Жертвами становились в основном русскоязычные пользователи.

База данных жертв содержит более 1 млн записей о заражениях, 580 000 украденных браузерных cookie и 2300 похищенных писем.

👻 ExfilSquad: новый игрок на рынке вымогательства
26 июля 2026 года на даркнете появилась новая группа ExfilSquad, сразу заявившая о взломе 15 организаций, включая Microsoft, Allstate, Frontier Airlines, администрации городов Атланта и Хьюстон.

Группа не использует шифровальщики — тактика строится исключительно на краже данных и угрозе их публикации. Однако эксперты сомневаются в достоверности заявлений: группировка не предоставила ни одного фрагмента данных или судебно-медицинского подтверждения. В качестве потенциального вектора атак рассматривается ошибочная конфигурация Microsoft Power Pages, но подтверждений пока нет.

🐧 Mirai жив и эволюционирует: Evooo1Bot
Спустя 10 лет после утечки исходного кода Mirai появляются новые мощные варианты ботнета. Специалисты Fortinet обнаружили Evooo1Bot, который эксплуатирует не менее 10 известных уязвимостей в роутерах D-Link, Netgear и других устройств — некоторые из них почти 20-летней давности.

Evooo1Bot превращает скомпрометированные роутеры в SOCKS5-прокси, позволяя злоумышленникам скрывать своё происхождение, проникать во внутренние сети и проводить атаки через инфраструктуру жертвы. Ботнет использует шифрованное C2-взаимодействие и систему двойной проверки на honeypot, что делает его труднообнаружимым.

⚙️ Windows-руткит в арсенале Mustang Panda
Группировка HoneyMyte (Mustang Panda) обновила свой бэкдор CoolClient, добавив подписанный руткит на уровне ядра Windows.

Драйвер msagent.sys, подписанный сертификатом 2013 года, скрывает процессы, файлы, записи реестра и сетевые соединения CoolClient, делая бэкдор практически невидимым для средств защиты. Атаки зафиксированы в Мьянме, Монголии, Пакистане и России, включая правительственные организации.

🛡️ Августовский Patch Tuesday: 421 уязвимость
Microsoft выпустила одно из крупнейших обновлений в истории, закрыв 421 CVE, более 40 из которых — критические.

📱 Apple разослала срочные предупреждения о шпионском ПО в 110 странах. Насколько это серьёзно?
Вчера, 13 августа, Apple направила новую волну уведомлений "Threat Notification" владельцам iPhone в 110 странах мира . Речь идёт о возможных атаках с использованием т.н. «наёмного шпионского ПО» (mercenary spyware) — программ, которые разрабатываются частными компаниями и продаются правительствам для слежки за конкретными людьми .
🎯 Масштаб: кто под прицелом?
Apple начала рассылать такие предупреждения в 2021 году. Сейчас общее число стран, где хоть раз были зафиксированы подобные уведомления, превысило 150 .
Кого это касается в первую очередь:
• Журналистов и медиа-работников
• Политиков и госслужащих
• Активистов и правозащитников
• Дипломатов
• Других людей, чья деятельность делает их ценными целями для разведки
Важный нюанс: компания не раскрывает, сколько именно пользователей получили предупреждения и кто именно может стоять за атаками .
⚠️ Что это за угрозы и насколько они опасны?
«Наёмное шпионское ПО» — это не рядовой вирус или фишинг. Речь о чрезвычайно дорогих (миллионы долларов за атаку на одного человека) и сложных инструментах, которые используют ранее неизвестные уязвимости .
Самый известный пример — Pegasus от израильской NSO Group . Расследования прошлых уведомлений не раз подтверждали заражение именно этим ПО .
Получение такого уведомления не означает, что телефон уже взломан. Это сигнал, что Apple обнаружила активность, с высокой вероятностью указывающую на целенаправленную атаку именно на вас .
При этом Apple не раскрывает конкретные признаки, по которым выявляет угрозы — чтобы злоумышленники не могли адаптироваться и обходить защиту .
🛡️ Последствия и что делать?
Если вы получили такое предупреждение, отнестись к нему нужно максимально серьёзно .
☝️ Как проверить, что уведомление настоящее?
• Настоящее предупреждение никогда не просит перейти по ссылке, ввести пароль или установить приложение/профиль .
• Оно приходит несколькими способами: на экран блокировки, в приложение «Настройки», по email и отображается вверху страницы при входе в account.apple.com .
🔒 Главная рекомендация — включить Lockdown Mode (Режим блокировки)
Эта функция резко ограничивает векторы атак:
• Блокирует большинство вложений в Messages
• Отключает JIT-компиляцию JavaScript в Safari
• Блокирует нежелательные FaceTime-вызовы
• Отключает проводные соединения при заблокированном телефоне
Критично: Apple заявляет, что ни разу не наблюдала успешного взлома устройства с включённым Lockdown Mode.
❗ Чего НЕ делать?
Не сбрасывайте устройство до заводских настроек — это уничтожит данные, которые могут быть важны для расследования .
💡 Для всех остальных
«Подавляющее большинство пользователей никогда не станут жертвами таких атак» — подчёркивает Apple . Эти атаки точечные, дорогие и сложные, поэтому обычным пользователям беспокоиться не о чем .
Однако всех владельцев iPhone это предупреждение призывает к базовой гигиене: регулярно обновляйте iOS, включайте двухфакторную аутентификацию и будьте осторожны с неизвестными ссылками .

Привет! На связи канал «Threat Intelligence по-русски» 🛡
Меня зовут Алексей Лазарев. Я практикующий специалист по кибербезопасности и аналитике угроз.
Этот канал — о том, как бизнесу замечать киберугрозы до того, как они превратятся в финансовые и репутационные потери.
О чем будем говорить: 
🔹 Разборы свежих атак и реальных утечек данных
🔹 Сигналы из даркнета и закрытых/открытых источников
🔹 Практические OSINT-инструменты и методики разведки
🔹 Как эффективно снижать киберриски без раздувания ИБ-бюджетов
📌 Формат: 2–3 поста в неделю. Только практика, факты и выводы — без «воды» и банального пересказа новостных лент.
Подписывайтесь, если хотите понимать ландшафт угроз и превентивно защищать свою компанию.
📩 По вопросам сотрудничества, аудита и персонального анализа защищенности — пишите мне напрямую: Привет! На связи канал «Threat Intelligence по-русски» 🛡
Меня зовут Алексей Лазарев. Я практикующий специалист по кибербезопасности и аналитике угроз.
Этот канал — о том, как бизнесу замечать киберугрозы до того, как они превратятся в финансовые и репутационные потери.
О чем будем говорить: 
🔹 Разборы свежих атак и реальных утечек данных
🔹 Сигналы из даркнета и закрытых/открытых источников
🔹 Практические OSINT-инструменты и методики разведки
🔹 Как эффективно снижать киберриски без раздувания ИБ-бюджетов
📌 Формат: 2–3 поста в неделю. Только практика, факты и выводы — без «воды» и банального пересказа новостных лент.
Подписывайтесь, если хотите понимать ландшафт угроз и превентивно защищать свою компанию.
📩 По вопросам сотрудничества, аудита и персонального анализа защищенности — пишите мне напрямую: https://clck.ru/3VEcBK