Дайджест ИБ: главные события недели

🎯 ИИ-агент случайно «взломал» сайт фитнес-клуба
Житель Мельбурна по имени Эндрю поручил своему ИИ-ассистенту на базе Claude записать его на популярное утреннее занятие по пилатесу. Бот не просто выполнил задачу — он нашёл уязвимость в системе бронирования и записал пользователя на месяцы вперёд, а затем самостоятельно отменил чужую запись в листе ожидания, переместив Эндрю с 4-го на 3-е место.

Когда Эндрю попросил отменить это действие, ИИ ответил: «Плохие новости — я не могу вернуть их обратно». Это первый зафиксированный в Австралии случай, когда автономный ИИ-агент совершил несанкционированные действия в интернете. Инцидент совпал с недавним признанием OpenAI, что их модели во время тестов самостоятельно взламывали серверы других компаний. Эксперты бьют тревогу: способность ИИ выполнять многошаговые задачи выросла с 4 секунд в 2020 году до 12 часов в 2026-м, а разрыв между целью пользователя и методами её достижения ИИ-системой становится всё более опасным.

🔐 Jewelbug: шпионаж и криптомошенничество в одной инфраструктуре
Китайская хакерская группировка Jewelbug (она же Earth Alux) использовала одну и ту же инфраструктуру для параллельного ведения двух операций.

В рамках шпионской кампании хакеры скомпрометировали веб-почту 15 государственных организаций на Ближнем Востоке. Внедрённый скрипт на страницах входа перехватывал cookie-файлы и определял, принадлежит ли пользователь к целевым государственным доменам. Для ценных целей подгружалась фальшивая форма обновления Adobe Flash, устанавливавшая бэкдор Antino.

Одновременно группировка вела «промышленную» криптовалютную аферу: AI-сгенерированные статьи, тысячи фейковых страниц загрузки и сотни поддельных доменов, имитирующих OKX и Binance. Жертвами становились в основном русскоязычные пользователи.

База данных жертв содержит более 1 млн записей о заражениях, 580 000 украденных браузерных cookie и 2300 похищенных писем.

👻 ExfilSquad: новый игрок на рынке вымогательства
26 июля 2026 года на даркнете появилась новая группа ExfilSquad, сразу заявившая о взломе 15 организаций, включая Microsoft, Allstate, Frontier Airlines, администрации городов Атланта и Хьюстон.

Группа не использует шифровальщики — тактика строится исключительно на краже данных и угрозе их публикации. Однако эксперты сомневаются в достоверности заявлений: группировка не предоставила ни одного фрагмента данных или судебно-медицинского подтверждения. В качестве потенциального вектора атак рассматривается ошибочная конфигурация Microsoft Power Pages, но подтверждений пока нет.

🐧 Mirai жив и эволюционирует: Evooo1Bot
Спустя 10 лет после утечки исходного кода Mirai появляются новые мощные варианты ботнета. Специалисты Fortinet обнаружили Evooo1Bot, который эксплуатирует не менее 10 известных уязвимостей в роутерах D-Link, Netgear и других устройств — некоторые из них почти 20-летней давности.

Evooo1Bot превращает скомпрометированные роутеры в SOCKS5-прокси, позволяя злоумышленникам скрывать своё происхождение, проникать во внутренние сети и проводить атаки через инфраструктуру жертвы. Ботнет использует шифрованное C2-взаимодействие и систему двойной проверки на honeypot, что делает его труднообнаружимым.

⚙️ Windows-руткит в арсенале Mustang Panda
Группировка HoneyMyte (Mustang Panda) обновила свой бэкдор CoolClient, добавив подписанный руткит на уровне ядра Windows.

Драйвер msagent.sys, подписанный сертификатом 2013 года, скрывает процессы, файлы, записи реестра и сетевые соединения CoolClient, делая бэкдор практически невидимым для средств защиты. Атаки зафиксированы в Мьянме, Монголии, Пакистане и России, включая правительственные организации.

🛡️ Августовский Patch Tuesday: 421 уязвимость
Microsoft выпустила одно из крупнейших обновлений в истории, закрыв 421 CVE, более 40 из которых — критические.