⭕️ OpenAI, 🈁Anthropic и ❗️Google объединяют усилия для борьбы с копированием своих моделей со стороны 🇨🇳Китая

Техгиганты объединяют усилия, чтобы жестко ограничить действия китайских конкурентов, извлекающих результаты из американских ИИ-моделей путём так называемой дистилляции.

Компании обмениваются информацией через Frontier Model Forum — отраслевую некоммерческую организацию, которую эти три технологические гиганта основали совместно с Microsoft Corp. в 2023 году. По оценкам американских чиновников, несанкционированная дистилляция ежегодно лишает лаборатории Кремниевой долины миллиардов долларов прибыли.

Компания OpenAI подтвердила свое участие в инициативе по обмену информацией о злонамеренной дистилляции через Frontier Model Forum и сослалась на недавно направленную в Конгресс служебную записку, в которой она обвинила китайскую компанию DeepSeek в попытке «бесплатно воспользоваться возможностями, разработанными OpenAI и другими передовыми американскими лабораториями». Google, Anthropic и Frontier Model Forum от комментариев отказались.

✋ @Russian_OSINT

🎩 Директор ЦРУ негласно повысил статус подразделения 🇺🇸 агентства по кибершпионажу

Как пишет Recorded Future*, осенью 2025 года ЦРУ повысило статус своего элитного подразделения по кибершпионажу, предоставив ему больше ресурсов для анализа и нейтрализации кибергроз

Центр киберразведки (Center for Cyber Intelligence) с 2015 года находился в составе Управления цифровых инноваций ЦРУ, но в октябре прошлого года по решению директора Джона Рэтклиффа в рамках внутренней реорганизации был преобразован в полноценный профильный центр (центр миссий).

Как пояснил бывший сотрудник разведки США, повышение структуры до уровня профильного центра означает, что для директора это «огромный стратегический приоритет». Ранее центр был лишь подразделением внутри Управления цифровых инноваций. Теперь же, по словам бывшего чиновника администрации Трампа, реорганизация дает им возможность «получить больше денег» и позволяет «стать более значимым игроком за столом».

Ключевым результатом реорганизации стало то, что руководство киберцентра теперь отчитывается лично директору ЦРУ. Новый статус также предоставляет кибермиссии агентства приоритетный доступ к ресурсам и кадровому обеспечению. Все это делается для того, чтобы «развязать руки» ведомству.

В прошлом месяце Белый дом опубликовал Национальную киберстратегию, в которой прямо заявлялось о желании администрации «развернуть весь комплекс оборонительных и наступательных киберопераций правительства США» против иностранных противников и «повысить для них цену за агрессию».

⚖️ Генпрокуратура признала нежелательной организацию Recorded Future*.

✋ @Russian_OSINT

🎩🇨🇳 Масштабная кража 10 петабайт военных секретов из Национального суперкомпьютерного центра Китая

CNN пишет, что группа киберпреступников под названием FlamingChina выставила на продажу в анонимном Telegram-канале более 10 петабайт секретной информации, похищенной из ИТ-инфраструктуры Национального суперкомпьютерного центра в Тяньцзине. Центр обслуживает более 6000 клиентов, а утечка предположительно содержит документы с грифом «секретно», исследования в области аэрокосмической инженерии, визуализации оборонного оборудования, а также схемы ракет и симуляции термоядерного синтеза.

За FlamingChina скрывается неизвестный хакер или группа, заявляющая о своей причастности к хищению информации. Группа утверждает, что утечка связана с «ведущими организациями», среди которых Китайская корпорация авиационной промышленности, Китайская корпорация коммерческой авиации и Национальный университет оборонных технологий.

ИБ-исследователь Марк Хофер сообщил, что связался в Telegram с человеком, заявившим об осуществлении взлома. Атакующий утверждал, что получил доступ к суперкомпьютеру в Тяньцзине через скомпрометированный домен VPN. Атакующий сообщил Хоферу, что они развернули «ботнет» — сеть автоматизированных программ для извлечения, загрузки и хранения данных. Процесс занял около 🤔6 месяцев. По словам другого эксперта, выгрузка была распределена по множеству серверов. В настоящий момент преступники требуют оплату в криптовалюте, оценивая полный доступ к базе в сотни тысяч долларов и предлагая ограниченную демонстрационную выборку за несколько тысяч.

Консультант компании SentinelOne Дакота Кэри подтвердил подлинность опубликованных фрагментов. Эксперт прокомментировал инцидент следующим образом: «Они представляют собой именно то, что я ожидал бы увидеть из суперкомпьютерного центра».
--------------------------

🤔Что странного в этой истории? «Сотни тысяч долларов» за чертежи баллистических ракет, передовую аэрокосмическую инженерию и данные по термоядерному синтезу? — Как-то смехотворно мало. Рассуждая гипотетически, если утечку уже выпотрошили западные спецслужбы, то коммерческая ценность такого 📂 архива может быть очень низкой, а легализовать процесс утечки через кого-то нужно.

Заявлено, что хакер выкачал 10 петабайт за 6 месяцев. Посчитаем, 10 Пбайт — это 10 миллионов гигабайт. Чтобы передать такой объем за полгода, требуется круглосуточный исходящий поток данных на скорости около 5 Гбит/с (более 600 Мегабайт каждую секунду).

Либо объем украденного завышен в тысячи раз ради пиара (журналисты могли раздуть), либо был инсайдер (администратор в НСЦ), который выносил информацию на физических носителях (даже в этом случае слишком большой объем данных), а история с «взломом через VPN» — всего лишь легенда для прикрытия. На стратегических объектах (тем более в Китае) строгий физический контроль: рамки, досмотр сумок, запрет на пронос личной электроники.

NetAskari, кстати, тоже подверг сомнению цифру в 10 Пбайт.

Примечательно, что новость попала в большую прессу только сейчас, хотя об этом кейсе исследователи начали говорить в прошлом месяце. Вот тут есть инфа.

✋ @Russian_OSINT

👀 Журналисты The New York Times опубликовали расследование в отношении 💴 создателя биткоина под ником Satoshi Nakamoto

Авторы материала называют 55-летнего британского криптографа Адама Бэка наиболее вероятным кандидатом на роль Сатоши Накамото. Гипотеза опирается на глубокий анализ сетевой активности главы компании Blockstream.

Исследователи применили методы вычислительной лингвистики для анализа 134 308 сообщений от 620 участников шифропанковских почтовых рассылок за период с 1992 по 2008 год. Искусственный интеллект выявил у Адама Бэка 521 слово без синонимов и 67 специфических ошибок в использовании дефисов, которые абсолютно идентичны уникальному стилю Сатоши Накамото. Дополнительным аргументом стало полное отсутствие активности британского специалиста на профильных форумах с 2008 по 2011 год.

Техническая архитектура первой криптовалюты во многом копирует концептуальные идеи Адама Бэка из его публикаций 1997 года об анонимных электронных деньгах. Будучи создателем криптографической системы Hashcash, британец задолго до появления биткоина предвосхитил принципы децентрализованной сети, решение задачи византийских генералов и механизм контроля инфляции. Сатоши Накамото интегрировал логику работы Hashcash для создания алгоритма добычи цифровых монет, начальный запас которых оценивается сегодня в 118 миллиардов долларов США.

Очная ставка журналиста с главным подозреваемым состоялась в конце января 2026 года на отраслевой конференции в Сальвадоре на фоне подготовки новой компании криптографа к выходу на биржу совместно с финансовой корпорацией Cantor Fitzgerald. Адам Бэк категорически отверг свою причастность к созданию криптовалюты и заявил: «Очевидно, я не Сатоши, такова моя позиция».

👆🤔Расследование американских журналистов опирается исключительно на косвенные улики и лингвистику. Скорее всего, расследование это качественный журналистский хайп, базирующийся на очень правдоподобной гипотезе. Однако построенная логика разбивается о непреодолимый парадокс OPSEC. Дело в том, что Адам Бэк был глубоко погружён в тему методов защиты от стилометрии, дабы гарантированно избежать сохранения типичных орфографических паттернов. Скептики считают, что доказательством может служить лишь валидная криптографическая подпись (алгоритм ECDSA) под любым новым сообщением, сгенерированная с использованием приватного ключа от нулевого генезис-блока или достоверно известных ранних биткоин-адресов создателя. Равноценным ончейн-подтверждением стала бы верифицированная транзакция по перемещению части неизрасходованных выходов (UTXO) из пула первых добытых им монет (так называемый «паттерн Патоши»), которые остаются без движения с 2009 года.

Согласно данным Arkham, на аккаунте Сатоши Накамото сейчас лежит около $80 млрд.

✋ @Russian_OSINT

Канал 🔨SecAtor — @true_secator пишет интересное:

Исследователи Positive Technologies выкатили аналитику по российскому и общемировому рынкам киберучений, оценив насколько схожа их динамика, а также пытаясь проследить, как изменилось отношение компаний к киберучениям за последние годы.

Представленные выводы и прогнозы основаны на собственной экспертизе компании, информации из авторитетных открытых источников, а также на результатах опроса, проведенного в первом квартале 2026 года, в котором приняли участие более 100 отраслевых специалистов.

Большая часть респондентов - представители очень крупных (от 1001 человек) и крупных (от 251 до 1000) организаций (61%), доля среднего (от 101 до 250) бизнеса составила 39%.

Среди них представители разных отраслей, включая финсектор, промышленность, телеком, ИТ, госучреждения, транспорт, образование, торговля, сфера услуг, здравоохранение и др.

При этом распределение респондентов по отраслям было равномерным.

Ключевые результаты:

- Почти половина организаций (48%) оценивают текущий уровень зрелости системы ИБ как «средний». Треть опрошенных считают, что процессы реализованы у них на высоком уровне.

- Только 12% компаний используют для оценки зрелости ИБ формализованные стандарты и метрики, а 75% респондентов заявили о намерении внедрить эту практику в будущем.

- В 14% организаций никогда ранее не проводили и не собираются проводить киберучения, 28% опрошенных планируют начать организовывать тренировки.

- Среди компаний, которые уже проводили киберучения или собираются провести в будущем, 34% полагаются только на собственные ресурсы, 32% рассчитывают на помощь внешних провайдеров услуг ИБ. При этом 53% планируют привлечь к тренировкам весь ИТ-отдел, 35% рассматривают возможность участия в тренировках всех сотрудников.

- Среди организаций, которые уже проводили киберучения, 60% считают, что они были эффективными, 38% опрошенных оценивают результаты нейтрально. Только 2% участников опроса оценили итоги киберучений крайне негативно.

- Больше половины участников опроса (60%) проводят киберучения для выявления и устранения технических уязвимостей в ИТ-инфраструктуре.

- Среди форматов киберучений, которые наиболее интересны российским организациям, лидируют (59%) командные тренировки (red team или purple team) и практические упражнения в виртуальной среде (47%).

- Меньше половины (41%) опрошенных считают оптимальным проводить киберучения два раза в год, 25% - раз в квартал, еще 24% - раз в год.

- Что касается средств, 28% организаций не имеют бюджета на киберучения, 62% респондентов готовы выделить на тренировки до 5 млн. рублей.

- Чаще всего проведение киберучений затрудняют ограниченный бюджет (42%), отсутствие времени у ключевых сотрудников (42%), сложности с привлечением участников из разных подразделений (34%) и недостаток внутренней экспертизы (31%).

- У большинства (51%) наибольшее беспокойство при планировании учений связано с возможными сбоями в работе ИТ-систем. Чуть меньше респондентов (42%) отталкивает высокая стоимость и сомнения в оправданности этих расходов. Еще 41% опасаются за безопасность и конфиденциальность данных при моделировании атак.

Настоящее и будущее рынка - в свежем отчете.

✋ @Russian_OSINT

👩‍💻 Сэм Альтман хочет контролировать AGI — можно ли ему доверять?

Как сообщает издание The New Yorker, новые интервью и строго засекреченные документы проливают свет на постоянные сомнения в отношении главы OpenAI. В материалах утверждается, что глава OpenAI Сэм Альтман обладает неумолимой жаждой власти и контроля, которая парадоксальным образом скрывается за маской мягкости и стремления избегать открытых конфликтов. Коллеги и бывшие партнеры характеризуют его как непревзойденного манипулятора с почти сверхъестественным даром убеждения, способного заставить окружающих поверить в то, что его личные цели — это благо для всех.

Инсайдеры и бывшие члены совета директоров аккуратно отмечают у него пугающую нехватку эмпатии, называя его «социопатом» за патологическую склонность к искажению фактов, систематическую ложь и абсолютное безразличие к последствиям своих манипуляций.

Амбиции Альтмана не терпят никаких ограничений, что ярко проявилось во время его кратковременного увольнения осенью 2023 года. Изначально согласившись на некоммерческую структуру OpenAI, призванную защитить человечество от рисков искусственного интеллекта, Альтман планомерно обходил и разрушал эти этические преграды, как только они начинали мешать коммерческому росту. Когда совет директоров попытался отстранить его за скрытность и пренебрежение безопасностью ради скорости выпуска продуктов, Альтман мгновенно организовал агрессивную и безжалостную кампанию по своему возвращению. Разгромив оппозицию с помощью давления инвесторов и лояльности команды, он доказал, что любые правила и структуры для него всего лишь временные условности на пути к победе.

Сегодня амбиции Альтмана вышли на беспрецедентный геополитический уровень. Он планирует привлечь триллионы долларов для создания глобальной инфраструктуры ИИ. Альтман пытается всех убедить, что технология может нас уничтожить, но именно ему нужно доверить полный контроль над ИИ. Критики видят в нем человека, готового поставить на кон безопасность всей цивилизации ради установления собственной глобальной монополии.

✋ @Russian_OSINT

🤖Как искусственный интеллект от 🇺🇸 ЦРУ искал пилота F-15 на расстоянии 64 км по "зову сердца"

Во время военной операции на юге Ирана был сбит американский истребитель ✈️ F-15E Strike Eagle. Утверждается, что один из сбитых американских летчиков (позывной Dude 44 Bravo) в течение двух дней скрывался в горной расщелине, пока иранские военные искали его. Несмотря на активацию пилотом аварийного радиомаяка (CSEL), его точное местоположение оставалось неясным для американских поисково-спасательных групп. Первичные сообщения СМИ утверждают, что поиск пилота осуществлялся с помощью секретной технологии ЦРУ под кодовым названием "Ghost Murmur".

Заявлено, что данная система, разработанная подразделением Skunk Works компании Lockheed Martin, способна дистанционно фиксировать электромагнитное поле ❤️человеческого сердца на расстоянии до 64 километров, используя квантовую магнитометрию и алгоритмы искусственного интеллекта. Утверждается, что технология опирается на датчики, содержащие синтетические алмазы с микроскопическими дефектами кристаллической решетки. Данные с этих квантовых сенсоров якобы обрабатываются алгоритмами искусственного интеллекта, которые способны фильтровать колоссальные объемы фонового электромагнитного шума, изолируя уникальную сигнатуру пульса конкретного человека.

Якобы система Ghost Murmur смогла обнаружить пульс Dude 44 Bravo на расстоянии около 64 километров. Полученные разведданные позволили командованию Центрального командования 🇺🇸США (CENTCOM) немедленно запустить активную фазу операции с привлечением сотен военнослужащих и спасательной авиации.

Критики подвергают сомнению такие цифры, называя историю информационным вбросом и целенаправленной психологической операцией (PsyOp) американских спецслужб. Скептицизм вызываето то, что магнитное поле человеческого сердца, обусловленное электрической активностью миокарда, имеет величину порядка 10⁻¹⁰–10⁻¹¹ Тесла. Для сравнения, магнитное поле Земли составляет около 5 × 10⁻⁵ Тесла — это означает, что различие на уровне 5–7 порядков. Биосигнал затухает до физически нерегистрируемых значений на расстоянии в 64 километра. Никакие вычислительные мощности ИИ не способны нарушить фундаментальные пределы чувствительности, чтобы вычленить столь микроскопический импульс сквозь гранитные скалы на фоне колоссального электромагнитного и геомагнитного шума.

Чтобы придать научную правдоподобность, авторы "вброса", скорее всего, позаимствовали идею из реально существующей программы DARPA/Q-CTRL под названием Robust Quantum Sensors (RoQS). В рамках этого проекта австралийская компания Q-CTRL получила два контракта на общую сумму $24 400 000 при участии Lockheed Martin в качестве субподрядчика для работы с синтетическими алмазами и квантовыми датчиками.

В 🦆 эксперты-скептики высказывают предположение, что у ЦРУ был, скорее всего, крот в иранских поисковых отрядах, либо они взломали зашифрованную связь КСИР. Легенда про "чтение пульса на расстоянии 64 км" использовалась для сокрытия реальных источников разведки США, а также для того, чтобы придать уверенности пилотам — "своих не бросаем".

СМИ (особенно издания уровня The New York Post) подхватили историю с эксклюзивными подробностями добровольно, так как она идеально вписывается в законы жанра. Получился готовый сценарий для голливудского блокбастера — супертехнология, всемогущий искусственный интеллект и спасение застрявшего в тылу врага героя по аналогии с «рядовым Райаном».

😑

✋ @Russian_OSINT

👻 В MAX нашли десятки уязвимостей — до того, как ими воспользовались злоумышленники

Как пишут Positive Technologies, в рамках программы багбаунти 💻ИБ-исследователям и белым безопасникам удалось найти десятки уязвимостей, которые удалось устранить до того, как ими потенциально могли воспользоваться злодеи.

Это стандартная мировая практика, уже ставшая нормой в России, — проверять защищенность приложений, систем и продуктов с помощью привлечения белых хакеров.

Так компании закрывают уязвимости в своих решениях, а белые хакеры — они же багхантеры — получают вознаграждение.

Так компании закрывают уязвимости в своих решениях, а белые хакеры — они же багхантеры — получают вознаграждение.

💸 Белые хакеры получили за это суммарно и легально около 22 млн рублей.

✋ @Russian_OSINT

🔥 Дом Сэма Альтмана попытались поджечь с помощью коктейля Молотова

В пятницу на прошлой неделе мужчина бросил, предположительно, коктейль Молотова в ворота дома генерального директора OpenAI Сэма Альтмана в Сан-Франциско. Инцидент произошел около 4 часов утра.

👮По данным Департамента полиции Сан-Франциско (SFPD) и OpenAI, никто не пострадал.

🤕 20-летний подозреваемый арестован, ему готовятся предъявить обвинения.

✋ @Russian_OSINT

⭕️ OpenAI просит пользователей macOS cрочно обновить Desktop приложения до последних версий из-за атаки на Axios

Компания OpenAI выявила проблему безопасности, связанную со сторонним инструментом для разработчиков под названием Axios, о которой говорилось ранее [1,2]. Принимаются меры по защите процесса сертификации, подтверждающего подлинность её приложений для macOS. Компания Сэма Альтмана сообщила об отсутствии доказательств несанкционированного доступа к пользовательским данным, компрометации систем или интеллектуальной собственности.

В результате этой атаки рабочий процесс (workflow) GitHub Actions, используемый OpenAI, загрузил и запустил «вредоносную» версию Axios. Данный рабочий процесс имел доступ к сертификату и материалам нотаризации, используемым для подписания приложений под macOS, включая ChatGPT Desktop, Codex, Codex-cli и Atlas.

Компания заявила, что обновляет свои сертификаты безопасности и требует от всех пользователей macOS обновить Desktop приложения OpenAI до последних версий, чтобы предотвратить любые риски, связанные с попытками распространения поддельных приложений.

Начиная с 8 мая старые версии Desktop приложений OpenAI для macOS больше не будут получать обновления или поддержку, а также могут перестать функционировать, отметил разработчик ChatGPT.

✋ @Russian_OSINT

📄 Компания Adobe выпустила обновление безопасности для Adobe Acrobat Reader на ❗️Windows и 🍏macOS

Новое обновление устраняет критическую уязвимость. Успешная эксплуатация может привести к выполнению произвольного кода.

Adobe известно о том, что уязвимость CVE-2026-34621 активно эксплуатируется в реальных условиях — ↔️CVSS base score 8.6. Компания рекомендует срочно обновиться.

https://helpx.adobe.com/security/products/acrobat/apsb26-43.html

✋ @Russian_OSINT

Почта Mail подвела итоги работы своих антиспам- и антифишинг-систем за первый квартал 2026 года. За отчетный период количество заблокированных вредоносных писем снизилось на 5,6% по сравнению с 2025 годом и составило 6,7 млрд. В тренде — письма под видом уведомлений от государственных сервисов с угрозой о штрафах и сообщениями о задолженностях.

Умные системы ежедневно блокировали 81,7 млн нежелательных писем – это на 3,6% больше, чем за аналогичный период прошлого года. Несмотря на рост числа блокировок спама, общая доля таких писем снизилась на 34% относительно первого квартала 2025 года.

«Лаборатория Касперского» отмечает, что в первом квартале злоумышленники продолжили использовать сценарии предыдущего года, одновременно тестируя новые подходы. В целом заметен тренд на усложнение атак: всё чаще применяются многоэтапные схемы с последовательным взаимодействием с жертвой и использованием различных каналов коммуникации.

«В конце 2025 года мы зафиксировали волну целевых атак на медицинские учреждения в России: вредоносные письма рассылались от имени страховых компаний и больниц и были связаны, например, с жалобами пациентов в рамках ДМС. Уже в феврале 2026 года аналогичные подходы начали применять против промышленных предприятий: письма имитировали уведомления о якобы выявленных нарушениях, а внутри архивов, как и ранее, скрывался бэкдор BrockenDoor, позволяющий получать удалённый доступ к устройствам и похищать данные. Также в январе 2026 года была зафиксирована масштабная кампания группировки Silver Fox: организации получали письма под видом уведомлений от налоговых органов. Всего за месяц обнаружено более 1600 таких сообщений; в атаках использовались ранее неизвестные загрузчики и Python-бэкдор ABCDoor»

— комментирует Андрей Ковтун, руководитель группы защиты от почтовых угроз в «Лаборатории Касперского».

По данным МегаФона, кибермошенники наращивают активность во всех каналах. За первый квартал 2026 года было заблокировано более 107 млн звонков по подозрению в мошенничестве — на 18% больше, чем в первом квартале 2025 года. Схожую динамику показывают и СМС: почти полмиллиарда сообщений заблокировали по подозрению в мошенничестве и спаме, что на 15% выше показателей прошлого года. При этом число жалоб абонентов на мошенничество снизилось, а это значит, что большая часть угроз была нейтрализована ещё до того, как пользователи с ней столкнулись.

🎣🐠Злоумышленники всё чаще комбинируют каналы: фишинговое письмо ведёт на поддельный сайт, после ввода данных абонент получает звонок от «специалиста», который предлагает установить «защиту» — на самом деле это вредоносное приложение. Атаки становятся многоканальными, поэтому и защита выстраивается на разных уровнях: фильтры оператора блокируют опасный трафик, антивирус отслеживает вредоносные приложения, а почтовый сервис — фишинговые письма.

✋ @Russian_OSINT

🈁Банки на Уолл-стрит тестируют модель Mythos от Anthropic по настоянию властей США

Как пишет Bloomberg, банки на Уолл-стрит проводят внутреннее тестирование модели Mythos от компании Anthropic PBC для выявления уязвимостей. Представители администрации Трампа, включая министра финансов США Скотта Бессента и председателя Федеральной резервной системы Джерома Пауэлла, призвали банки использовать модель Mythos для улучшения своей защиты, предупредив о необходимости отнестись к ней серьезно.

Настоятельные рекомендации со стороны чиновников администрации Трампа говорят о растущей обеспокоенности регуляторов тем, что кибератаки представляют собой один из главных рисков для финансовой отрасли.

✋ @Russian_OSINT

Канал 🔨SecAtor — @true_secator пишет интересное:

Исследователи из Лаборатории Касперского разобрались в кейсе с компрометацией веб-сайта cpuid[.]com, на котором размещались установщики популярных ПО для администрирования систем CPU-Z, HWMonitor (и Pro) и Perfmonitor 2.

В ЛК обнаружили, что примерно с 9 апреля, 15:00 UTC, до 10 апреля, 10:00 UTC, легитимные URL для загрузки установщиков этого ПО были заменены URL-адресами на следующие вредоносные веб-сайты: cahayailmukreatif.web[.]id, pub-45c2577dbd174292a02137c18e7b1b5a.r2[.]dev, transitopalermo[.]com и vatrobran[.]hr.

Злоумышленники распространяли вредоносные дистрибутивы различного популярного ПО для администрирования систем через cpuid[.]com, включая: CPU-Z (версия 2.19), HWMonitor Pro (версия 1.57), HWMonitor (версия 1.63) и PerfMonitor (версия 2.04).

Вирус распространялся как в виде ZIP-архивов, так и в виде отдельных установщиков. Файлы содержат легитимный подписанный исполняемый файл для соответствующего продукта и вредоносную DLL-библиотеку CRYPTBASE.dll, созданную с использованием метода боковой загрузки DLL.

Вредоносная DLL отвечает за подключение к C2 и дальнейшее выполнение полезной нагрузки. Перед этим она также выполняет ряд проверок на предмет соответствия требованиям песочницы, и если все проверки пройдены, она подключается к серверу C2.

Примечательно, что злоумышленники повторно использовали как адрес C2, так и конфигурацию подключения из кампании марта 2026 года, где они разместили фейковый сайт FileZilla, распространяющий вредоносные файлы.

Загрузчик также содержит огромный массив MAC-адресов (представленных в виде строк), которые впоследствии формируют полезную нагрузку следующего этапа путем преобразования шестнадцатеричных символов в MAC-адресах в их байтовые значения. После набора вспомогательных загрузчиков цепочка выполнения приводит к созданию сложной системы RAT.

Однако RAT на заключительном этапе не является чем-то новым. Злоумышленник решил повторно использовать так называемый STX RAT, о котором сообщала Esentire, тем самым совершив еще одну ошибку.

Как отмечают в ЛК, заключительный этап полностью обнаруживается правилами YARA, представленными у eSentire. Злоумышленники приложили усилия для взлома популярного сайта с ПО, но не смогли избежать обнаружения с помощью известных индикаторов взлома.

Согласно телеметрии ЛК, выявлено более 150 пострадавших, в основном - частные лица. Однако заразились и организаций различных секторов, включая торговлю, производство, консалтинг, телеком и сельское хозяйство. Большинство заражений - в Бразилии, России и Китае.

По сравнению с другими недавними атаками типа watering hole и атаками на цепочки поставок, как в случае с Notepad++, атака на cpuid[.]com была организована крайне плохо.

Самая серьёзная ошибка злоумышленников заключалась в повторном использовании той же цепочки заражения с использованием STX RAT и тех же доменных имён для связи C2, что и в предыдущей атаке, связанной с поддельными установщиками FileZilla.

Общий уровень разработки/развертывания вредоносного ПО и OpSec злоумышленников довольно низок, что, в свою очередь, позволило обнаружить компрометацию на ранней стадии.

Индикаторы компрометации и рекомендации - в отчете.

😁 Линус Торвальдс анонсировал ядро Linux 7.0

Создатель Linux Линус Торвальдс объявил о выходе версии ядра Linux 7.0, отметив, что последняя неделя разработки прошла под знаком множества мелких и безобидных исправлений. По его мнению, такая тенденция может стать «новой нормой» благодаря активному использованию ИИ-инструментов, которые помогают непрерывно выявлять ошибки. В релиз вошли точечные улучшения сетевой подсистемы (ядра и драйверов), архитектурные исправления и другие обновления.

✋ @Russian_OSINT