Дайджест ИБ: главные события недели

🔥 ExfilSquad: подтверждённая утечка 27 миллионов записей из Microsoft D365
Группировка ExfilSquad, появившаяся в конце июля, подтвердила свои угрозы: 7 августа были опубликованы торренты с данными 13 организаций, включая Microsoft, Allstate, Frontier Airlines и администрации городов Атланта и Хьюстон. Общий объём утекшей информации — 382 ГБ, 27 миллионов записей.
Анализ Fortra показал, что данные ограничены Microsoft Dynamics 365 CRM и ERP и не свидетельствуют о полной компрометации сетей жертв. Вероятный вектор атаки — неверная конфигурация Microsoft Power Pages, оставляющая анонимный доступ к Dataverse. Группировка удалила из списка публикаций две компании (Zenith Bank и Analog Devices), предположительно, после переговоров.
Две компании — Zenith Bank Plc и Analog Devices — были бесшумно удалены из списка, несмотря на более ранние угрозы публикации, что может указывать на успешные переговоры.
🎯 Новые zero-day: GeoServer и Microsoft Defender «ShieldBreak»
GeoServer: SQL-инъекция без патча
12 августа исследователь q1uf3ng раскрыл zero-day в GeoServer, позволяющий неавторизованную SQL-инъекцию с потенциальным переходом к RCE. В течение нескольких часов WatchTowr зафиксировал сотни попыток сканирования с небольшого числа IP-адресов. Эксперты предупреждают: GeoServer уже становился целью массовых атак в 2024 году (CVE-2024-36401). Патч пока отсутствует.
🏦 Финансовый сектор под прицелом
ShinyHunters угрожает BOK Financial
Группировка ShinyHunters выставила ультиматум американскому финансовому гиганту BOK Financial: связаться с ними до 24 августа, иначе данные будут опубликованы. Также на leak-сайте появились NovoCure Limited (здравоохранение и биотехнологии) и LifeBank Microfinance Foundation. Подтверждений факта утечки пока нет.
Senvest Capital: 10 скомпрометированных учётных записей
Канадская инвесткомпания Senvest Capital была атакована группировкой TheGentlemen. В открытом доступе обнаружены учётные данные 10 сотрудников, в том числе для Microsoft Entra ID и платформы ShareFile, используемой для обмена отчётами с инвесторами.

🏛️ Критическая инфраструктура под ударом
Атаки на Siemens S7 с использованием ИИ
Агентство CISA предупредило об атаках на критическую инфраструктуру, нацеленных на PLC-контроллеры Siemens S7. Злоумышленники используют AI-сгенерированные скрипты для поиска интернет-экспонированных устройств с устаревшим ПО. Под ударом энергетика, водоснабжение, производство и сельское хозяйство.
14 000 камер Dahua взломаны
Компрометированы более 14 000 IP-камер Dahua в ходе многоэтапной кампании, затронувшей сети Украины и России. Использовались автоматический подбор паролей и обход аутентификации через P2P-релейный сервис производителя.
🐧 Clop атакует PTC Windchill через web-шелл
Clop-группировка использует кастомный Java web-шелл для атак на серверы PTC Windchill и FlexPLM через критическую RCE (CVE-2026-12569). Шелл подключается к базе Windchill, расшифровывает пароли и похищает файлы.
🤖 Android-угроза: Manic
Обнаружено новое Android-вредоносное ПО Manic, сочетающее банковский троян, шпионское ПО и удалённое управление устройством. Цели — банки, правительственные сервисы и криптоплатформы в Украине, России и Европе. Вредонос использует необычную Wi-Fi mesh-систему для передачи данных через другие заражённые устройства.

🏢 Утечки и атаки на организации
• EmpireWorks (строительная компания) — Qilin ransomware. В steler-логах найдены учётные данные сотрудника, использовавшиеся с октября 2025 по июнь 2026 на четырёх внешних платформах (hotels.com, blindparts.com и других).
• Otter Tail County, Миннесота — INC Ransom заявил о взломе окружной администрации (~60 000 жителей).
• Mighty Kingdom (австралийская игровая студия) — Direwolf ransomware. Скомпрометированы учётные записи Google Workspace и Apple TestFlight, использовавшиеся с декабря 2025.