Канал 🔨SecAtor — @true_secator пишет интересное:

Исследователи из Лаборатории Касперского разобрались в кейсе с компрометацией веб-сайта cpuid[.]com, на котором размещались установщики популярных ПО для администрирования систем CPU-Z, HWMonitor (и Pro) и Perfmonitor 2.

В ЛК обнаружили, что примерно с 9 апреля, 15:00 UTC, до 10 апреля, 10:00 UTC, легитимные URL для загрузки установщиков этого ПО были заменены URL-адресами на следующие вредоносные веб-сайты: cahayailmukreatif.web[.]id, pub-45c2577dbd174292a02137c18e7b1b5a.r2[.]dev, transitopalermo[.]com и vatrobran[.]hr.

Злоумышленники распространяли вредоносные дистрибутивы различного популярного ПО для администрирования систем через cpuid[.]com, включая: CPU-Z (версия 2.19), HWMonitor Pro (версия 1.57), HWMonitor (версия 1.63) и PerfMonitor (версия 2.04).

Вирус распространялся как в виде ZIP-архивов, так и в виде отдельных установщиков. Файлы содержат легитимный подписанный исполняемый файл для соответствующего продукта и вредоносную DLL-библиотеку CRYPTBASE.dll, созданную с использованием метода боковой загрузки DLL.

Вредоносная DLL отвечает за подключение к C2 и дальнейшее выполнение полезной нагрузки. Перед этим она также выполняет ряд проверок на предмет соответствия требованиям песочницы, и если все проверки пройдены, она подключается к серверу C2.

Примечательно, что злоумышленники повторно использовали как адрес C2, так и конфигурацию подключения из кампании марта 2026 года, где они разместили фейковый сайт FileZilla, распространяющий вредоносные файлы.

Загрузчик также содержит огромный массив MAC-адресов (представленных в виде строк), которые впоследствии формируют полезную нагрузку следующего этапа путем преобразования шестнадцатеричных символов в MAC-адресах в их байтовые значения. После набора вспомогательных загрузчиков цепочка выполнения приводит к созданию сложной системы RAT.

Однако RAT на заключительном этапе не является чем-то новым. Злоумышленник решил повторно использовать так называемый STX RAT, о котором сообщала Esentire, тем самым совершив еще одну ошибку.

Как отмечают в ЛК, заключительный этап полностью обнаруживается правилами YARA, представленными у eSentire. Злоумышленники приложили усилия для взлома популярного сайта с ПО, но не смогли избежать обнаружения с помощью известных индикаторов взлома.

Согласно телеметрии ЛК, выявлено более 150 пострадавших, в основном - частные лица. Однако заразились и организаций различных секторов, включая торговлю, производство, консалтинг, телеком и сельское хозяйство. Большинство заражений - в Бразилии, России и Китае.

По сравнению с другими недавними атаками типа watering hole и атаками на цепочки поставок, как в случае с Notepad++, атака на cpuid[.]com была организована крайне плохо.

Самая серьёзная ошибка злоумышленников заключалась в повторном использовании той же цепочки заражения с использованием STX RAT и тех же доменных имён для связи C2, что и в предыдущей атаке, связанной с поддельными установщиками FileZilla.

Общий уровень разработки/развертывания вредоносного ПО и OpSec злоумышленников довольно низок, что, в свою очередь, позволило обнаружить компрометацию на ранней стадии.

Индикаторы компрометации и рекомендации - в отчете.

😁 Линус Торвальдс анонсировал ядро Linux 7.0

Создатель Linux Линус Торвальдс объявил о выходе версии ядра Linux 7.0, отметив, что последняя неделя разработки прошла под знаком множества мелких и безобидных исправлений. По его мнению, такая тенденция может стать «новой нормой» благодаря активному использованию ИИ-инструментов, которые помогают непрерывно выявлять ошибки. В релиз вошли точечные улучшения сетевой подсистемы (ядра и драйверов), архитектурные исправления и другие обновления.

✋ @Russian_OSINT

Специалист в области ИБ 💻Маркус Хатчинc, также известный благодаря остановке распространения вируса-вымогателя WannaCry, поделился мнением насчет хайпа вокруг Mythos.

По его мнению, шумиху вокруг обнаружения ИИ-моделью бага 27-летней давности в ядре BSD прежде всего нужно связывать с экономической составляющей.

Он уточняет, что обнаруженная моделью уязвимость представляет собой разыменование нулевого указателя (null pointer dereference). В контексте удаленного выполнения кода (RCE) данный класс ошибок практически не поддается эксплуатации в 99,9% случаев. Она не предоставляет возможности полного захвата системы. Найденные проблемы зачастую не обладают той ценностью, которую описывают Anthropic и журналисты в СМИ. Стоимость поиска такой уязвимости слишком высокая на данный момент.

Компания Anthropic потратила «менее $20 000» для поиска этой единственной уязвимости.

Затраты на токены в значительной степени субсидируется венчурными фондами (тесты от ИИ). Когда финансирование иссякнет и ИИ-компаниям придется устанавливать реальную стоимость вычислений для поиска уязвимостей, то сумма в $20 000 легко может удвоиться или утроиться.

🤔Хатчинc отмечает: «Крайне сомнительно, действительно ли использование LLM экономически более выгодно в пересчете на одну уязвимость, чем простое привлечение человека — исследователя безопасности».

Фундаментальная проблема безопасности открытого исходного кода (такого как BSD) заключается не в том, что баги невозможно найти. Проблема в том, что никто не платит за их поиск. Исследователь отвергает идею надвигающегося киберапокалипсиса, спровоцированного искусственным интеллектом. Он отмечает, что сетевые периметры никогда не были неприступными крепостями. Злоумышленники на регулярной основе компрометируют сети, используя традиционные, низкозатратные атаки, такие как социальная инженерия и массовые фишинговые рассылки.

С другой стороны, Anthropic в System Card: Claude Mythos Preview отмечает, что в тесте с Firefox 147 модель Claude Mythos не просто нашла баг, а написала рабочий эксплойт для выполнения произвольного кода (RCE). Кроме того, в закрытых киберучениях (Раздел 3.4) модель смогла автономно провести комплексную атаку на корпоративную сеть.

Хатчинс считает, что компании часто преувеличивают значимость найденных багов ради пиара. Однако, модель действительно научилась писать сложные эксплойты, а не только «ронять» системы.

Эксперты из AISI попытались выступить в роли объективного арбитра, который объединяет две предыдущие точки зрения на эффективность современных ИИ-агентов в наступательной кибербезопасности.

CTF (Захват флага): на «экспертном» уровне, который до апреля 2025 года не могла пройти ни одна модель, Mythos успешен в 73% случаев.

Симуляция реальной атаки («The Last Ones»): тут кроется важное достижение. AISI создали корпоративную сеть и симуляцию из 32 шагов (от разведки до полного захвата), на прохождение которой у живого эксперта ушло бы 20 часов. Mythos Preview стала первой моделью в истории, которая смогла пройти эту симуляцию от начала до конца (в 3 из 10 попыток, в среднем проходя 22 шага из 32). Прошлый рекордсмен (Opus 4.6) проходил в среднем только 16 шагов.

Несмотря на успехи, эксперты AISI делают важнейшую оговорку, которая вторит логике ИБ-исследователей — тесты с ИИ проходили в «тепличных» условиях.

В тестовых сетях AISI не было активных защитников, EDR/XDR и мониторинга (SOC). ИИ мог совершать сколько угодно ошибок и действовать «громко», не боясь, что его действия вызовут тревогу в системе безопасности (что в реальности привело бы к блокировке).

✋ @Russian_OSINT

Модель может автономно попробовать взломать плохо защищенную сеть небольшого предприятия, но сможет ли она обойти хорошо защищённую систему с активным мониторингом в реальных условиях? Нет.

AISI честно отмечает — Mythos не всемогущ. Модель не смогла пройти симуляцию «Cooling Tower», направленную на атаки объектов критической инфраструктуры АСУ ТП, застряв еще на этапе прорыва через обычную IT-сеть.

ИИ показывает себя неплохо только против слабых сетей без активной защиты, но на сложных системах он провалит тесты.

AISI подтверждает тезис о том, что эффективность ИИ напрямую коррелирует с доступным бюджетом токенов. Выделение лимита в 100 млн токенов на прохождение полигона демонстрирует, что успех атаки сейчас упирается в стоимость аренды вычислительных мощностей.

Эксперты констатируют, что базовая кибергигиена (своевременный патч-менеджмент, жесткий контроль доступа и логирование) все еще является достаточным барьером для текущего поколения моделей, поскольку их действия слишком прямолинейны и создают много шума.

На данный момент использовать передовой ИИ для сложных взломов нерентабельно из-за гигантских затрат на вычислительные мощности, а большинство компаний успешно взламываются обычными методами (вроде фишинга) просто потому, что экономят на базовой защите. Как только ИИ-вычисления подешевеют и атаки станут массовыми, именно тогда бизнесу придется всерьез задуматься о вложениях в кибербезопасность с акцентом на противодействие ИИ-атакам.

✋ @Russian_OSINT

🖥 Как защитить корпоративную сеть от AirSnitch

Как уязвимости семейства AirSnitch угрожают корпоративным сетям и что нужно изменить в сетевой архитектуре и настройках для защиты. Статья для тех, кому это может быть интересно.

😘 https://www.kaspersky.ru/blog/airsnitch-wi-fi-client-isolation-guest-network-vulnerability-and-mitigation/41691/

✋ @Russian_OSINT

💻Тысячи специалистов в области кибербезопасности получат доступ к новой модели ⭕️ GPT-5.4-Cyber

Компания OpenAI рассказала о своей новой модели GPT-5.4-Cyber для ИБ-специалистов в рамках своей программы Trusted Access for Cyber (TAC). Теперь тысячи верифицированных специалистов и сотни команд, защищающих критически важное ПО, смогут получить доступ к новой ИИ-модели.

GPT-5.4-Cyber отличается от других моделей так называемой «киберлояльностью» — у нее снижен порог отказов при выполнении специфических задач, связанных с безопасностью. Основные заявленные фичи:

1️⃣ ИИ-модель обладает возможностями реверс-инжиниринга бинарных файлов (binary reverse engineering), позволяя ИБ-специалистам анализировать скомпилированное программное обеспечение и понять логику его работы.

2️⃣ Аналитикам не нужен доступ к исходному коду (source code), чтобы с помощью ИИ проводить аудит программы на наличие потенциального вредоносного ПО (malware), уязвимостей (zero-day/1-day).

Кроме того, в экосистеме OpenAI работает Codex Security, специализированный инструмент, внедряющий продвинутые ИИ-модели и агентские возможности непосредственно в рабочие процессы разработчиков. Будучи интегрированным в пайплайн разработки, агент автоматически отслеживает кодовые базы, проводит валидацию обнаруженных проблем безопасности и предлагает разработчикам варианты исправлений в режиме реального времени.

Модель GPT-5.4-Cyber от OpenAI попытается составить конкуренцию 🈁Mythos.

OpenAI внедряет обязательную верификацию личности и требует прохождение процедур KYC, дабы предотвратить злоупотребления со стороны потенциальных злоумышленников.

✋ @Russian_OSINT

💴 Хакеры вымогают деньги у криптобиржи Kraken после инсайдерской утечки данных

Криптовалютная биржа Kraken объявила, что киберпреступная группа пытается вымогать у компании деньги, угрожая опубликовать видеоролики, демонстрирующие внутренние системы, в которых хранятся данные клиентов.

В компании заявили, что инцидент не поставил под угрозу средства клиентов и был связан с внутренней угрозой, включающей лишь 2 случая неправомерного доступа к ограниченному объему пользовательских данных со стороны сотрудников службы поддержки. По словам 💻ИБ-директора компании Нико Перкоко, инцидент потенциально затронул лишь около 2000 учетных записей клиентов, что составляет 0,02% от всей пользовательской базы Kraken. Раскрытая информация касается исключительно данных службы поддержки.

По заявлению представителей компании, Kraken не будет платить злоумышленникам или вести с ними переговоры.

Kraken — это американская криптовалютная биржа, которая позволяет миллионам пользователей в 190 странах покупать, продавать и торговать цифровыми активами, такими как биткойн, эфириум и еще 200 другими. Она считается одной из крупнейших и наиболее авторитетных бирж с ежедневным объемом торгов в сотни миллионов долларов США.

Kraken заявила, что в ходе расследования было собрано достаточно доказательств для 👮судебного преследования всех причастных лиц, пытающихся их шантажировать, и для достижения этой цели компания тесно сотрудничает с федеральными правоохранительными органами в нескольких юрисдикциях.

✋ @Russian_OSINT

🧊 Более 100 расширений Chrome уличены в краже пользовательских данных и перехвате сеансов

Cпециалисты из компании Socket в ходе глубокого анализа расширений Интернет-магазина Chrome (Chrome Web Store) обнаружили, что 108 расширений Chrome собирали идентификационные данные пользователей, перехватывали сеансы и скрыто внедряли бэкдоры в веб-браузеры пользователей. В общей сложности эти расширения насчитывают около 20 000.

Вредоносные расширения маскируются под легитимные инструменты, включая клиенты 📲 Telegram, браузерные утилиты, игры в стиле казино и сервисы перевода. Вредоносные расширения управляются через единую командно-контрольную (C2) инфраструктуру на базе домена cloudapi[.]stream. Вредоносный функционал кампании строго сегментирован: 54 расширения тайно собирают идентификационные данные учетных записей Google (email, имена, постоянные ID) при авторизации через OAuth2, а 45 расширений содержат универсальный бэкдор, позволяющий серверу принудительно открывать любые URL-адреса при запуске браузера.

Наибольшую угрозу представляет расширение "Telegram Multi-account", которое каждые 15 секунд токены аутентификации из активных веб-сеансов Telegram, позволяя злоумышленникам полностью захватывать чужие аккаунты в обход паролей и 2FA. При этом в совокупности на расширения, нацеленные на Telegram, приходится около 3 000 установок.

✋ @Russian_OSINT

🎩Генеральный директор материнской компании 🇰🇷PUBG решил проконсультироваться с ChatGPT и попал на $250 миллионов

Согласно судебному заключению от 16 марта 2026 года, генеральный директор компании Krafton из Южной Кореи Чанхан Ким обратился к искусственному интеллекту СhatGPT для консультаций с целью уклонения от финансовых обязательств (договорённостей) по уплате бонуса в размере $250 млн.

Krafton — корейская компания, разработчик и издатель компьютерных игр. Известна тем, что владеет студией PUBG Studios.

В 2021 году южнокорейская корпорация Krafton приобрела независимую студию Unknown Worlds (создателей игры Subnautica) за $500 млн, пообещав выплатить ее команде дополнительный бонус до $250 млн в случае высоких продаж их будущих проектов. Ключевым условием этой сделки было то, что основатели студии сохраняют за собой полный операционный контроль — то есть право самостоятельно управлять разработкой и выпуском игр. В 2025 году внутренние расчеты показали, что грядущий хит Subnautica 2 гарантированно заставит Krafton выплатить этот гигантский бонус.

👹Не имея реальных законных оснований для отстранения основателей студии Unknown Worlds, Ким обратился за помощью к ChatGPT. Он попросил разработать для него пошаговый план корпоративного захвата под кодовым названием «Проект X», что не платить обещанный бонус.

Следуя советам ChatGPT, руководство Krafton заблокировало разработчикам Unknown Worlds доступ к площадке Steam, чтобы сорвать релиз игры и искусственно занизить её доходы. Чтобы не спалиться, Чанхан Ким удалил историю переписки с ChatGPT, но в ходе судебного разбирательства этот факт всплыл наружу, и суд официально признал схему незаконной, встав на защиту Unknown Worlds игры.

👩‍💻 Чанхан добился того, что суд юридически запретил ему прикасаться к купленной студии, сделал выплату $250 млн практически неизбежной мерой, а самого себя выставил на весь мир руководителем, который 🙏 слушается советов чат-бота Cэма Альтмана. После судебного фиаско дальнейшая карьера Чанхана Кима на посту CEO Krafton находится под вопросом.

✋ @Russian_OSINT

🎖🇺🇸 Google и Пентагон обсуждают секретную сделку по ИИ (❗️Gemini)

По сообщению The Information, Google ведет переговоры о заключении соглашения с Министерством войны США, которое позволит Пентагону развертывать ИИ-модели Gemini в засекреченной среде, об этом сообщили два источника издания, непосредственно знакомые с ситуацией.

Стороны обсуждают соглашение, которое позволит Пентагону использовать искусственный интеллект Google в любых ❗️🤖"законных целях".

Если верить информации The Information, то в ходе переговоров компания Google предложила включить в контракт с министерством дополнительные формулировки, предотвращающие использование ее ИИ для массовой слежки внутри США или в автономных системах вооружения без надлежащего контроля со стороны человека.

В компании Alphabet не дали ответа на запрос Reuters о комментариях.

Самое ироничное в этой ситуации то, что Google, приходя «на место» вместо Anthropic, пытается прописать в контракте с оборонным ведомством ровно те же самые ограничения (запрет на внутреннюю слежку и автономное оружие), за защиту которых Anthropic попала в черный список.

✋ @Russian_OSINT

👮 Глобальная операция PowerOFF против теневой инфраструктуры для заказных DDoS-атак

Как сообщается в пресс-релизе Европола, правоохранительные органы 21 страны объединили усилия 13 апреля 2026 года для проведения масштабной международной операции PowerOFF против инфраструктуры заказных DDoS-атак.

В рамках активной фазы следователи отправили нарушителям свыше 75 000 официальных предупреждающих писем, арестовали 4 подозреваемых, заблокировали 53 целевых домена и реализовали 25 ордеров на обыск. Конфискация инфраструктуры позволила экспертам Европола извлечь ценные базы данных с детальной информацией о более чем 3 миллионах учетных записей пользователей по всему миру, причастных к DDoS-атакам. Комплексный анализ изъятых данных и отслеживание криптовалютных транзакций обеспечили национальные ведомства точными геолокационными координатами нарушителей для подготовки новых точечных рейдов.

Участие в операции принимали 🇦🇺Австралия, 🇦🇹Австрия, 🇧🇪Бельгия, 🇧🇷Бразилия, 🇧🇬Болгария, 🇩🇰Дания, 🇪🇪Эстония, 🇫🇮Финляндия, 🇩🇪Германия, 🇯🇵Япония, 🇱🇻Латвия, 🇱🇹Литва, 🇱🇺Люксембург, 🇳🇱Нидерланды, 🇳🇴Норвегия, 🇵🇱Польша, 🇵🇹Португалия, 🇸🇪Швеция, 🇹🇭Таиланд, 🇬🇧Великобритания и 🇺🇸США.

♋️ Кроме того, в рамках профилактики из результатов поисковой выдачи было удалено свыше 100 вредоносных URL-адресов, а в Google были запущены таргетированные рекламные сообщения, призванные удержать молодежь от поиска инструментов для киберпреступлений.

✋ @Russian_OSINT

🤖Иллюзия защищенного периметра в обновленной фиче Windows 11 Recall

Исследователь Александр Хагена выпустил утилиту TotalRecall (Reloaded), которая демонстрирует обход границы доверия (trust boundary) в переработанной архитектуре безопасности функции Windows Recall путём работы с уже дешифрованными данными в процессе AIXHost.exe.

После критики Recall первой версии — Microsoft провела работу над ошибками, сосредоточившись на создании защищенного хранилища с использованием VBS-анклавов (Virtualization-based Security), механизма защиты процессов PPL (Protected Process Light) и обязательной биометрической аутентификации через Windows Hello.

Утилита TotalRecall Reloaded обходит защиту этапа рендеринга путём классической DLL-инъекции в незащищённый процесс AIXHost.exe (без прав администратора).

Эксперт описал эту архитектурную уязвимость точной метафорой: «Дверь хранилища — титановая. Стена рядом с ней — гипсокартонная». Именно через эту уязвимую «стену» и проникает эксплойт, внедряя свою DLL-библиотеку прямо в процесс отрисовки интерфейса без какого-либо повышения привилегий. Утилите не нужно взламывать шифрование, так как она незаметно блокирует механизм отзыва прав и просто ждет, пока пользователь сам легитимно пройдет авторизацию. После этого программа в фоновом режиме извлекает скриншоты, OCR-текст и метаданные всей захваченной активности пользователя.

Более того, выяснилось, что некоторые критические действия, включая скрытое создание снимков экрана или полное уничтожение всей собранной базы Recall, вообще не требуют прохождения биометрической проверки.

Хагена акцентирует внимание на следующих архитектурных моментах:

1️⃣ Таймауты обходятся прямым патчингом памяти процесса (функция DiscardDataAccess).
2️⃣ Данные выходят из защищенного анклава и попадают в AIXHost.exe — процесс, который никак не защищен механизмами вроде PPL (Protected Process Light).

Примечательно, что Microsoft отказалась признавать проблемы с безопасностью, заявив, что подобное взаимодействие процессов является «штатным поведением Windows». Александр Хагенах выразил категоричное несогласие с позицией вендора.

По мнению исследователя Александра Хагены, функция Windows Recall всё ещё недостаточно безопасна для защиты массива конфиденциальных данных, которые ей доверяет пользователь. Резюмируя, функция Windows Recall остается критически уязвимой. Операционная система передает расшифрованные данные в абсолютно незащищенный процесс рендеринга, позволяя любому фоновому вредоносному ПО скрыто перехватывать всю историю активности. Поскольку устранить эту брешь обычными настройками пользователя невозможно, единственный надежный способ защиты на данный момент — ◀️ полностью отключить Recall.

✋ @Russian_OSINT

🇺🇸 Хакеры из АНБ США начали использовать ИИ-модель 🈁Mythos от Anthropic

Cтало известно, что Агентство национальной безопасности США получило в свой арсенал самую мощную и передовую ИИ-модель Mythos Preview, которая уже используется ведомством для решения своих задач. Как отмечает Axios, потребности правительства в обеспечении кибербезопасности стоят выше ситуации с конфликтом Пентагона с Anthropic.

Пока неясно, как именно АНБ в настоящее время использует Mythos, но другие организации, имеющие доступ к модели, используют ее преимущественно для сканирования собственных систем на наличие уязвимостей (защита), которые могут быть использованы злоумышленниками.

Не исключено, что Mythos в пилотных целях может использоваться АНБ для усиления своего наступательного потенциала при проведении киберопераций.

Представители Anthropic и Пентагона от комментариев отказались. АНБ и Аппарат директора Национальной разведки на запросы о комментариях не ответили.

✋ @Russian_OSINT

🤖Автономный ИИ-агент Hermes от Nous Research преодолел рубеж в ⭐️104 тысячи звезд на ❗️ GitHub

Исследовательская группа Nous Research выпустила самообучающегося ИИ-агента под названием Hermes Agent, который пытается повторить успех проекта OpenClaw.

Данный проект с открытым исходным кодом набирает популярность среди IT-специалистов cо всего мира и уже собрал более 104 тысяч звезд и 14 900 форков. Развитие кодовой базы активно поддерживают 530 независимых разработчиков со всего мира.

В отличие от стандартных ИИ-ассистентов, привязанных к конкретной среде разработки или веб-браузеру, Hermes спроектирован как фоновый процесс. Он разворачивается на вашем собственном оборудовании (проект стабильно работает даже на базовом виртуальном сервере стоимостью от $5 в месяц) и сохраняет полный контекст взаимодействия между сессиями. Существует возможность интеграции более чем с 200 ИИ-моделями через OpenRouter, кроме того, Hermes напрямую работает с продуктами OpenAI, Anthropic и NVIDIA. Управлять инфраструктурой можно прямо из Telegram.

🤖 Для безопасной работы с файловой системой и кодом Hermes использует изоляцию (Docker-контейнеры, SSH-туннели или облачные песочницы).

Важно отметить, что ИИ-агент для полноценного внедрения в 🙅‍♂️♋️cерьезные рабочие процессы пока ещё не готов из-за возможных рисков, связанных с безопасностью, но в качестве полигона для испытаний он представляет собой один из самых интересных проектов на GitHub. Hermes сейчас проходит стартового хайпа, как и OpenClaw в своё время, но технически он ещё слишком «сырой» — v0.10.0 (2026.4.16).

😘 https://github.com/NousResearch/hermes-agent

✋ @Russian_OSINT